基础指标是什么
CVSS 基础指标描述漏洞的固有属性，不随时间与环境变化，因此所有厂商与平台对同一个漏洞的基础组判定理论上应当一致。它由两类共八段组成：利用难度类（AV 攻击途径、AC 复杂度、PR 所需权限、UI 用户交互）与影响类（S 范围、C/I/A 机密性/完整性与可用性）。判定顺序建议先定利用门槛、再定影响范围，因为前四段决定攻击者要付出多少成本，后四段决定一旦成功损失多大。
基本信息
| 指标数量 | 3.1 版基础组共 8 段；4.0 版为 11 段 |
|---|---|
| 利用门槛类 | AV、AC、PR（4.0 另有 AT 前置条件）、UI |
| 影响类 | S 范围（4.0 改为易受攻击系统与后续系统两组影响） |
| 判定依据 | 漏洞固有属性，不看资产价值与网络位置 |
| 常见来源 | NVD 分析结果、厂商公告、扫描器引擎判定 |
| 修正方式 | 环境组指标可在本组织视角下覆盖基础组判定 |
指标与判定要点
| 指标 | 判定要点 |
|---|---|
| AV:N | 可从任意网络位置触发（互联网服务默认适用） |
| AV:A | 需要相邻网络，如同一局域网、蓝牙范围 |
| AV:L | 需要本地访问或已获得低权限会话 |
| AV:P | 需要物理接触设备 |
| AC:H | 存在额外利用条件：竞态窗口、特定配置、需绕过防护机制 |
| PR:L / PR:H | 分别表示需要低权限 / 高权限账户发起 |
| UI:R | 需要受害者点击、打开文件等交互 |
| S:C | 影响可越出组件自身安全域（如宿主机、其他账户） |
| C/I/A:H | 对机密性 / 完整性 / 可用性的影响达到高等级 |
判定误区示例
判定误区示例
需要登录才能触发 -> PR:L（低权限），不是 AC:H
需要用户打开文件 -> UI:R，不是 AC:H
拿下容器后可逃逸到宿主机 -> S:C（范围改变）
只能抓取本机流量 -> AV:L，不是 AV:N
# 判定口诀：先问怎么到、再问要不要权限与交互、最后问影响落在谁身上常见争议与处理
- 数据库前置：厂商假设单机部署，实际有前置网关时用环境组修正，不改基础组
- 版本差异：同一 CVE 在不同产品版本里利用条件不同，按实际部署版本判定
- 是否需要认证：只看接口本身是否需要凭据，不看业务上是否只对内部开放
- UI 判定：需要管理员手动执行命令的场景属于 UI:R，不要因为自动化脚本存在就判 UI:N
- 影响范围：仅影响该服务实例的判 S:U，可读取宿主或其他组件数据的判 S:C
厂商公告里的向量偶有差异；处置排序时优先看利用条件（网络可达性、认证要求）这类硬事实，分数分歧留给评审环节解决。