In derselben Woche wurden Korrekturen für drei Schwachstellen veröffentlicht. Der Betriebsverantwortliche kann nur eine Korrektur pro Tag einspielen. Welche Kombination aus der zuerst zu behebenden Schwachstelle und dem Grund ist am besten geeignet?

Antwort: C. Eine Schwachstelle des aus dem Internet erreichbaren VPN-Geräts (CVSS-Basiswert 8,1, tatsächliche Ausnutzung bestätigt), weil es von außen erreichbar ist und die Schwachstelle bereits für Angriffe genutzt wird

Der CVSS-Basiswert gibt den Schweregrad der Schwachstelle selbst an, aber nicht, wie leicht es in der Umgebung der eigenen Organisation tatsächlich zu einem Angriff kommt. Eine Schwachstelle eines direkt aus dem Internet erreichbaren Geräts, deren Ausnutzung in realen Angriffen bestätigt ist, wird mit hoher Wahrscheinlichkeit sofort ins Visier genommen; sie hat daher Vorrang, auch wenn ihr Basiswert mit 8,1 niedriger als 9,8 ist. Den Stand der Ausnutzung kann man im Katalog ausgenutzter Schwachstellen (KEV: Known Exploited Vulnerabilities) prüfen, den die US-Behörde CISA seit November 2021 veröffentlicht, sowie in Warnmeldungen der Hersteller oder von JPCERT/CC. Auch die Schwachstelle des nur intern genutzten Servers ist schwerwiegend; sie wird als Nächstes nach dem VPN-Gerät behoben, und bis dahin wird das Risiko etwa durch Einschränkung der Verbindungen gesenkt.