CVSS 时序指标是什么
CVSS v3.x 的指标分三组：基础指标描述漏洞固有属性，时序指标（Temporal）描述会随时间变化的利用成熟度与修复状态，环境指标描述具体部署环境的影响。时序组包含 E（利用代码成熟度）、RL（修复级别）、RC（报告可信度）三项。多数公开漏洞库只给出基础分，因为时序信息需要持续跟踪；这也意味着想要更贴近现实的分数，需要自己维护这三个字段。
基本信息
| 适用版本 | CVSS v3.0 / v3.1（v4.0 的指标组划分有变化） |
|---|---|
| 指标组 | E 利用代码成熟度、RL 修复级别、RC 报告可信度 |
| 默认值 | X 表示未定义，计算时按最坏情况取值 |
| 数据来源 | 厂商公告、利用情报、漏洞库条目更新 |
时序指标取值（3.1）
| 指标 | 取值 | 含义 |
|---|---|---|
| E | X / U / P / F / H | 未定义 / 未验证 / 概念验证 / 已可用 / 已武器化 |
| RL | X / U / W / T / O | 未定义 / 不可修复 / 临时缓解 / 临时修复 / 官方修复 |
| RC | X / U / R / C | 未定义 / 未知 / 合理 / 已确认 |
典型使用场景
- 内部漏洞台账里给每条记录补充 E 与 RL，让排序更贴近实际
- 公开利用代码出现时把 E 从 U/P 更新为 F，触发优先级复审
- 厂商发布补丁后把 RL 更新为 O，作为关闭或降级风险的依据
- 漏洞描述来源不明时把 RC 标为 U，避免基于未经证实的描述派工
- 审计时用时序字段解释『为什么这条同分漏洞排得更前』
向量拼接示例
向量拼接示例
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C
# 解析：
# E:F 已有可工作的公开利用代码
# RL:O 官方修复已发布（存在可用的正式补丁）
# RC:C 漏洞报告已被厂商或权威来源确认
# 时序组不改变基础指标，只在此基础上做加权内部评估可用两条稳定映射维持口径一致：补丁是否发布决定 RL 取值，是否出现公开可用的利用决定 E 取值，避免不同人判断尺度不一。
时序字段需要维护节奏：建议在漏洞入库、补丁发布、利用情报出现三个时点各更新一次，其余时间不必频繁改动。