Common Vulnerability Scoring System (CVSS): comprendiamo di cosa si tratta.

Massimiliano Brolli : 9 Aprile 2021 12:52

Autore: Massimiliano Brolli
Data pubblicazione: 9/04/2021

Il CVSS è l’acronimo di Common Vulnerability Scoring System, un framework realizzato dalla FIRST, una organizzazione senza scopo di lucro con sede negli Stati uniti d’America ad oggi arrivato alla versione 3.1.

È il metodo più comunemente utilizzato dagli specialisti della sicurezza informatica, per valutare le vulnerabilità presenti all’interno di un sistema software/hardware attraverso la metrica “base”, anche se tale metrica può essere influenzata dai risultati di altre metriche temporali ed ambientali.

Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference.  Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.  Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.  Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Molti professionisti utilizzano il punteggio CVSS base, come metrica principale per determinare la gravità di un bug di sicurezza rilevato. CVSS è un framework utilizzato per classificare le caratteristiche e la gravità dei punti deboli sfruttabili, creando un sistema di punteggio che valuta ogni singola vulnerabilità da 0 a 10.

Il framework è articolato nei seguenti gruppi:

1. CVSS Base;
2. CVSS Temporal;
3. CVSS Environmental metrics.

Il CVSS fornisce anche un sistema di aggregazione semplice e diretto per stabilire la potenziale minaccia e i singoli componenti che rappresentano un sistema.

Le aggregazioni (denominate Severity) possono essere riassunte in:

1. .0 = Nessuna minaccia;
2. ,1-3,9 = Basso;
3. 4.0-6.8 = Medio;
4. 7.0-8.9 = Alto;
5. 9.0 – 10.0 = Critico.

Dove ovviamente più è basso lo score, meno è rischiosa la vulnerabilità per un sistema, mentre uno score di 10,0 è una vulnerabilità molto critica da correggere immediatamente.

CVSS Base

Il punteggio di base opera utilizzando una scala da 0 a 10 attribuita a vulnerabilità intrinseche del software non influenzate dal tempo o da fattori ambientali. Il punteggio di base CVSS include due punteggi correlati e sono:

1. Exploitability;
2. Impact.

Exploitability

Si tratta di aspetti del singolo componente vulnerabile.

Più è facile attaccare il componente, più alto è il punteggio dei livelli di gravità CVSS v3.

Le metriche includono:

• Attack Vector (AV): classifica di quanto sia difficile per gli hacker utilizzare quel determinato vettore di attacco e quindi prendere di mira la vulnerabilità;
• Attack Complexity (AC): classifica l’ambiente che un hacker deve superare per sfruttare la vulnerabilità;
• Privileges Required (PR): classifica il livello di accesso alle credenziali che un hacker deve utilizzare per sfruttare la vulnerabilità;
• User Interaction (UI): classifica la difficoltà di un obiettivo da hackerare senza l’aiuto di utenze aggiuntive.

Impact

Viene utilizzato per determinare la gravità dei singoli componenti vulnerabili in un attacco riuscito. Le metriche includono:

1. Authorization Scope (S): classifica il grado di impatto che un componente può avere su altre parti del sistema;
2. Confidentiality (C): classifica il livello di compromissione della riservatezza del sistema causata dal lancio di un exploit sulla vulnerabilità;
3. Integrity (I): classifica il livello di compromissione dell’integrità del sistema causata dal lancio di un exploit sulla vulnerabilità;
4. Availability (A): classifica il livello di compromissione della disponibilità del sistema causata dal lancio di un exploit sulla vulnerabilità;

CVSS Temporal

Il punteggio temporale influirà sulle metriche utilizzate per determinare il punteggio di base CVSS.

Questa composizione del punteggio include tre metriche:

1. Exploit Code Maturity (E): classifica la probabilità che un exploit venga sfruttato in base agli script esistenti trovati su Internet;
2. Livello di riparazione (RL): classifica la facilità con cui un exploit può essere eseguito;
3. Report Confidence (RC): classifica l’affidabilità dell’esistenza di una vulnerabilità.

CVSS Environmental metrics

Le metriche ambientali sono essenzialmente dei “modificatori” del gruppo di metriche Base. L’Environmental metrics, come dice appunto la parola è calare in un contesto specifico il CVSS Base, come ad esempio una impresa o una organizzazione.

Le metriche includono:

1. Confidentiality Requirement (CR): la capacità di nascondere le informazioni agli utenti non autorizzati;
2. Integrity Requirement (IR): la capacità di proteggere le informazioni dalla modifica rispetto all’originale.
3. Availability Requirement (AR): l‘accessibilità delle informazioni agli utenti autorizzati secondo necessità.

Per poter calcolare autonomamente il valore del CVSS nella fattispecie alla versione 3.1, il NIST mette a disposizione su NVD (National vulnerability Database) la clacolatrice che consente la generazione degli score sulla base di una serie di input inviati dall’utente. La calcolatrice è raggiungibile a questo link: https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator

Bibliografia:

https://www.first.org/cvss/specification-document

https://www.first.org/cvss/v3.1/user-guide

https://www.first.org/cvss/calculator/3.1

Massimiliano Brolli
Responsabile del RED Team e della Cyber Threat Intelligence di una grande azienda di Telecomunicazioni e dei laboratori di sicurezza informatica in ambito 4G/5G. Ha rivestito incarichi manageriali che vanno dal ICT Risk Management all’ingegneria del software alla docenza in master universitari.

Lista degli articoli
Visita il sito web dell'autore