CVSS 是什么
CVSS（Common Vulnerability Scoring System，通用漏洞评分体系）由 FIRST 维护，是描述漏洞严重性的通用量化语言。它把漏洞的固有属性拆成一组可勾选的指标，算出 0.0 到 10.0 的基础分，并输出可核对的向量字符串。有了统一口径，厂商公告、监管通报与内部台账对同一个漏洞的判断才能放在同一张表里比较。2023 年发布 4.0 版本，与 3.1 长期并行：4.0 取消时序组、改为威胁组，新增不参与算分的补充组，并把影响拆成易受攻击系统与后续系统两套机密性/完整性/可用性指标。
基本信息
| 维护方 | FIRST（Forum of Incident Response and Security Teams） |
|---|---|
| 现行版本 | 3.1 与 4.0 并行，历史版本 2.0 / 3.0 |
| 评分范围 | 0.0 - 10.0，保留一位小数 |
| 指标分组 | 3.1 为基础/时序/环境三组；4.0 为基础/威胁/环境/补充四组 |
| 输出物 | 数值评分 + 向量字符串 |
| 常见出处 | NVD、厂商安全公告、漏洞库与扫描器报告 |
典型使用场景
- 漏洞分诊排序：把公告分值与资产暴露情况结合，决定先修哪一批
- 内部定级口径：SLA 与考核规则常以 CVSS 分值区间作为参照基准
- 供应商沟通：用向量说明为什么本地判定与厂商公告分值不一致
- 环境修正：把真实可达性与业务影响代入环境组，得到本组织视角的分数
- 复现与验证：PR、UI 段决定了复测需要什么账号权限和用户交互条件
- 合规留档：评分与向量作为定级依据写进处置记录，便于复盘与审计
两个版本的向量写法
两个版本的向量写法
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H # 3.1：网络可达、无需认证与交互，评为 9.8
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N # 4.0：同场景写法，VC/VI/VA 指易受攻击系统
# 读向量先看利用门槛：AV 攻击途径、AC 复杂度、AT 前置条件、PR 所需权限、UI 是否要人参与
# 再看影响：VC/VI/VA 是本系统损失，SC/SI/SA 是漏洞被利用后对其他系统的连带影响
# 多数平台只展示基础组，时序/威胁与环境组由使用方按自身情况补齐四组指标的作用
| 指标组 | 是否随环境变化 | 典型用途 |
|---|---|---|
| 基础组 Base | 否，只描述漏洞本身 | 全行业可比，公告里公布的分值 |
| 时序组 3.1 / 威胁组 4.0 | 随时间变化 | 利用代码成熟度、在野利用状态 |
| 环境组 Environmental | 随资产与业务变化 | 修正基础分，得出本组织视角 |
| 补充组 4.0 | 不参与算分 | 记录安全影响、自动化程度、恢复难度等上下文 |
基础分只反映漏洞固有严重性。判定优先级时至少要再叠加两项：资产是否互联网可达、业务中断代价多大。
4.0 把「是否需要特定前置条件」单独拆为 AT 指标，而 3.1 把这类条件隐含在 AC 里。同一漏洞在两版里的判定看起来不同，多数是拆分段差异，不是判定矛盾。
落地时的判定顺序
- 先取原始出处：优先用厂商公告或 NVD 的向量，不要用二手转述的分值
- 再核对部署条件：把 PR 与 UI 对着真实配置看，很多漏洞只在特定开关下触发
- 然后补环境组：把资产可达范围、数据敏感度、业务连续性要求写进判定说明
- 最后定处置时限：分值只是起点，再叠加是否在野利用、是否有缓解手段
- 留档留痕：把使用的版本、向量、修改理由一并记录，便于复核与申诉
官方提供评分计算器（FIRST 的 CVSS 计算器），手算容易在 S 段与环境组系数上出错。改判定时把调整前后的向量都留在记录里，比只写一个分数更有说服力。