CVSS 計算工具（v3.1）
CVSS（通用漏洞評分系統）是以0.0～10.0的數值表示軟體與硬體漏洞嚴重程度的共通尺度。選擇8項基本指標後，本工具依規格書的公式計算基本分數。
計算結果
- 基本分數（Base Score）
- –
- 嚴重程度
- –
- 衝擊子分數（Impact）
- –
- 可利用性子分數（Exploitability）
- –
向量字串：
依 FIRST 的 CVSS v3.1 規格書公式，只計算基本分數。不支援時間分數（Temporal）、環境分數（Environmental），以及2023年11月發布的 CVSS v4.0。
以圖表檢視
其他輸入維持目前的值，只讓選擇的輸入在目前值的 1/4 到 4 倍之間變化時的結果。紅點是目前的值。
什麼是 CVSS
CVSS（Common Vulnerability Scoring System）是由 FIRST 維護、用來評估漏洞嚴重程度的共通方法。為了讓不同產品與廠商能以同一尺度比較，它依固定的指標選擇攻擊的難易度與攻擊成功時的衝擊，換算為0.0～10.0的數值。NVD、JVN 等資料庫會為每個 CVE 公布基本分數與向量字串，作為決定修補優先順序的參考。
8項基本指標
表示攻擊難易度的是攻擊向量（網路、相鄰網路、本機、實體）、攻擊複雜度、所需權限與使用者互動4項；表示衝擊的是對機密性、完整性、可用性的衝擊（高、低、無）3項。範圍表示攻擊的影響是否超出有漏洞的元件，例如從瀏覽器影響到作業系統，或從虛擬機器影響到主機。範例「Log4Shell」經由網路、無須驗證、範圍已改變且衝擊全為高，因此達到上限10.0。
計算方式
先由3項衝擊求出 ISS = 1 −（1 − C）（1 − I）（1 − A）。範圍未改變時衝擊 = 6.42 × ISS，已改變時為 7.52 ×（ISS − 0.029）− 3.25 ×（ISS − 0.02）^15。可利用性 = 8.22 × AV × AC × PR × UI。衝擊在0以下時基本分數為0，否則把衝擊與可利用性的和（範圍已改變時乘以1.08）以10為上限，再無條件進位到小數第1位。所需權限的係數只在範圍已改變時變大。
基本分數無法決定的事
基本分數只反映漏洞本身的性質，不包含是否正被實際利用，也不包含受影響系統對自己的重要性。攻擊程式是否流通等由時間分數修正，自家環境中的重要性由環境分數修正。即使嚴重程度高，若是沒有連上網路的設備，也可能不那麼急迫。基本分數是決定優先順序的起點，應結合資產重要性與實際的威脅情報判斷。
練習相關題目
- ACVE是賦予個別漏洞的通用識別編號，CVSS是以0.0～10.0的數值評估漏洞嚴重程度的通用方法
- BCVE是評估漏洞嚴重程度的數值，CVSS是漏洞的識別編號
- CCVE與CVSS都是防毒軟體用來辨識惡意軟體的病毒碼檔案名稱
查看答案與解析
正確答案：A. CVE是賦予個別漏洞的通用識別編號，CVSS是以0.0～10.0的數值評估漏洞嚴重程度的通用方法
CVE（Common Vulnerabilities and Exposures）是賦予每個公開漏洞、形式為「CVE-年-編號」的識別編號，讓不同產品或組織都能以相同編號稱呼同一個漏洞。CVSS（Common Vulnerability Scoring System）是根據攻擊所需條件，以及對機密性、完整性、可用性的影響等，以0.0～10.0的數值評估漏洞嚴重程度的通用方法。CVSS的基本分數代表漏洞本身的性質，因此要同時考量在自身環境中實際有多危險（例如該設備是否能從網際網路連到、是否已實際觀察到攻擊等），來決定套用修補的順序。漏洞管理會反覆進行以下流程：建立所使用軟體與版本的清單（資產清冊）、蒐集新漏洞的資訊、評估影響、套用修補程式，並確認已經套用。
- A只在安裝軟體的當天進行的攻擊
- B只鎖定修補程式已發布多年之舊漏洞的攻擊
- C在軟體漏洞被發現後、開發商提供修補程式之前（或修補尚未普及之前），利用該漏洞進行的攻擊
查看答案與解析
正確答案：C. 在軟體漏洞被發現後、開發商提供修補程式之前（或修補尚未普及之前），利用該漏洞進行的攻擊
零時差攻擊是在開發商尚未得知漏洞，或雖已得知但尚未提供修補程式（patch）的階段，利用該漏洞的攻擊。若把修補公開的那天當作第1天，攻擊發生在此之前（第0天），因而得名。由於無法套用修補程式，重疊其他對策以抑制損害很重要。例如停用不需要的服務以減少受攻擊面、權限最小化、網路分段、使用偵測並因應端點可疑行為的機制（EDR等），以及套用開發商提供的因應措施。修補程式提供後，要盡快套用。
常見問題
嚴重程度如何區分？
在 CVSS v3.1 中，0.0 為無，0.1～3.9 為低（Low），4.0～6.9 為中（Medium），7.0～8.9 為高（High），9.0～10.0 為嚴重（Critical）。
範圍「已改變」是什麼意思？
指影響跨越到與有漏洞元件不同的權限範圍（安全邊界）的情況。例如 XSS 讓網頁應用程式的漏洞在使用者瀏覽器中執行腳本，或虛擬機器內的漏洞影響外部主機。設為已改變時，相同的衝擊會得到較高的基本分數。
與 CVSS v4.0 有何不同？
FIRST 於2023年11月發布 CVSS v4.0。它新增攻擊前提條件（AT）、移除範圍，並分別評估對有漏洞系統與其他系統的衝擊等。v3.1 與 v4.0 的分數無法直接比較，使用時請確認是哪個版本的分數。
與 CVE、NVD 的關係？
CVE 是給每個漏洞的識別編號，CVSS 是表示其嚴重程度的數值。美國的 NVD、日本的 JVN 等資料庫會為每個 CVE 公布 CVSS 分數與向量字串。同一漏洞在不同組織的評估下，分數可能不同。