CVSS 评分是什么

同一漏洞在两家平台常看到不同分数：一边 9.8，一边 7.5。多数时候不是谁算错了，而是两边选用的指标组、指标版本或环境假设不同。CVSS 要解决的，正是「严重程度如何被统一地算出来」这件事。

## 一、本质：把严重程度变成可复现的数字

漏洞的危害大小受两类因素左右：一类是漏洞本身多容易被利用、被打中后损失多大；另一类随时间与环境变化，比如利用代码是否成熟、补丁是否发布、本组织资产有多重要。CVSS 的做法是把这些因素拆成一组有枚举取值的指标，每个取值对应固定权重，加权求和后映射到 0–10 的分数量表。

```text
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
字段顺序自左向右：
1. CVSS:3.1：版本 3.1
2. AV:N：攻击向量，网络
3. AC:L：攻击复杂度，低
4. PR:N：所需权限，无
5. UI:N：用户交互，不需要
6. S:U：范围，不变
7. C:H：机密性影响，高
8. I:H：完整性影响，高
9. A:H：可用性影响，高
```

分数可复现靠的是向量串：它记录了每个指标的取值，第三方拿到同一份向量串就能算出同一个分。只抄数字不抄向量，等于丢掉了计算依据。

## 二、为什么会有它

补丁分级、工单流转、合规报表都要回答「先修哪个」。靠专家拍脑袋主观且不可比，只用「高危、中危」两档又太粗。CVSS 用固定公式换三件事：可复现、可比较、可审计。标准由 FIRST 维护并发布官方计算器，厂商、漏洞库、扫描器按同一口径实现，分数差异只应来自输入。

## 三、由什么构成

主流版本 v3.1 与 2023 年发布的 v4.0 都把指标分组：基础组刻画漏洞固有属性；时效组描述利用代码成熟度、修复级别与报告可信度随时间的变化；环境组允许按本组织资产重要性调整影响指标。v4.0 另设威胁组，用实际观测到的利用证据修正分数，同时弱化时效组。

```text
指标组：
1. Base：漏洞固有属性（向量、复杂度、权限、交互、范围、三类影响）
2. Temporal：时间因素（利用代码成熟度、修复级别、报告可信度）
3. Environmental：组织特定（安全需求、修改后的基础指标）
4. Threat(v4.0)：实际威胁证据（利用代码状态、在野观测）
输出：0.0–10.0 分数 + None / Low / Medium / High / Critical 五档
```

## 四、常见误解

分数高就等于会被利用：CVSS 衡量「一旦被利用有多糟、多容易被打中」，不含「多可能被利用」，后者由 EPSS 与 KEV 补充。10 分等于必须立刻打补丁：优先级还要叠加暴露面、补偿控制与业务窗口。不同版本的分数可以直接比：v3 与 v4 的公式和等级门槛有差异，横向比较前先核对版本与向量串。

## 五、适用边界

CVSS 适合在同一口径下横向比较严重程度，也适合作为分级 SLA 的输入之一。它不描述具体资产上的真实风险，也不预测利用概率。NVD、厂商、扫描器各按自己的口径计算，跨来源并列展示分数时，先核对向量串与版本，再看数字。等级门槛（7.0 以上为 High、9.0 以上为 Critical）只是口径约定，不同版本之间不通用；把分数写进工单时连同版本号一起落库，事后才说得清当时的依据是什么。

| 构成项 | 作用 | 常见误读 |
|---|---|---|
| 基础指标组 | 刻画漏洞固有的可利用性与影响 | 以为它就是全部得分 |
| 时效指标组 | 反映利用代码与补丁随时间成熟 | 从不更新，分数多年不变 |
| 环境指标组 | 按本组织资产与安全要求调整 | 把组织自评分当作公共分 |
| 威胁指标组（v4.0） | 用实际利用证据修正分数 | 与 EPSS 的概率混为一谈 |
| 向量串 | 记录全部指标取值，保证可复现 | 只抄分数不抄向量，无从核对 |
| 等级映射 | 将 0–10 映射为五档文字等级 | 把等级直接当作补丁 SLA |

参考（仅置于代码块中）：

```text
https://www.first.org/cvss/
https://nvd.nist.gov/vuln-metrics/cvss
```