O CVSS teve várias versões, e um vetor só significa algo no contexto da sua versão. Esta ferramenta calcula v3.0 e v3.1, que são as versões que a grande maioria dos comunicados publicados e dos feeds de vulnerabilidade ainda usa.
v3.0 versus v3.1
As duas versões v3 usam as mesmas métricas e as mesmas equações gerais, então a maioria dos vetores pontua de forma idêntica. Há duas diferenças deliberadas:
- Roundup. A v3.0 arredondava por um método que podia, em entradas raras, produzir últimos dígitos diferentes em plataformas diferentes por causa da aritmética de ponto flutuante. A v3.1 redefine a função
Roundupem termos inteiros para que toda implementação concorde. É por isso que um pequeno número de vetores pontua, por exemplo, 2.5 em uma versão e ligeiramente diferente na outra. - Impacto modificado. A equação ambiental de impacto modificado para escopo alterado foi ajustada na v3.1 (o expoente mudou e um fator
0,9731foi introduzido), o que pode deslocar algumas pontuações ambientais em um décimo.
Como as duas versões podem discordar, um vetor deve sempre carregar seu prefixo CVSS:3.0 ou CVSS:3.1, e um decodificador deve respeitá-lo em vez de presumir.
A v4.0 é um redesenho, não um ajuste
O CVSS v4.0 (2023) é uma mudança maior e não é compatível em vetores com a v3. As principais diferenças:
- Os grupos de métricas são reorganizados em Base, Ameaça (Threat), Ambiental e Suplementar.
- A métrica única de Escopo desaparece. O impacto agora é dividido entre o sistema vulnerável (
VC,VI,VA) e os sistemas subsequentes (SC,SI,SA), o que expressa a mesma ideia de forma mais precisa. - Uma nova métrica de Requisitos de Ataque (AT) junta-se à Complexidade do Ataque, e a nomenclatura para pontuações combinadas (CVSS-B, CVSS-BT, CVSS-BTE) é formalizada.
Um vetor v4.0 começa com CVSS:4.0 e não pode ser pontuado pela matemática v3. Este decodificador reconhece um prefixo v4.0 e avisa que ele está fora de escopo, em vez de produzir um número errado. O CVSS v2, que usava um conjunto de métricas totalmente diferente, está descontinuado e também não é calculado aqui.