Categoria: Vulnerabilità & CVE
Slug: /vulnerabilita-cve/cvss-punteggio-vulnerabilita/
Quando una vulnerabilità viene pubblicata, una delle prime informazioni che spesso compare nei report è un numero:
CVSS: 9.8
A prima vista sembra semplice.
Più alto è il numero, più grave è la vulnerabilità.
Il problema è che, nella pratica, la situazione è un po' più complessa.
CVSS è un sistema di scoring della severità, non una misura completa del rischio aziendale.
Cos'è CVSS?
CVSS significa Common Vulnerability Scoring System.
È un framework utilizzato per descrivere la severità delle vulnerabilità attraverso un insieme di metriche.
Il punteggio viene normalmente espresso su una scala da:
0.0 → 10.0
Il risultato viene associato a una categoria di severità.
In generale:
0.0 Nessuna
0.1–3.9 Bassa
4.0–6.9 Media
7.0–8.9 Alta
9.0–10.0 Critica
Quando si legge un punteggio, è però importante sapere quale versione di CVSS è stata utilizzata.
Perché esiste un punteggio?
Immaginiamo un'organizzazione con centinaia di vulnerabilità.
Senza un sistema di classificazione, sarebbe difficile confrontare rapidamente caratteristiche diverse.
CVSS fornisce una metodologia comune per descrivere la severità tecnica.
Questo può aiutare a:
- classificare le vulnerabilità;
- ordinare le attività di remediation;
- confrontare diversi problemi;
- comunicare il livello di severità;
- automatizzare alcune fasi del vulnerability management.
Cosa considera CVSS?
Le metriche prendono in considerazione caratteristiche della vulnerabilità e delle condizioni necessarie per sfruttarla.
Tra gli aspetti considerati nelle versioni moderne del sistema troviamo elementi relativi a:
- vettore di attacco;
- complessità;
- privilegi richiesti;
- interazione dell'utente;
- impatto sulla confidenzialità;
- integrità;
- disponibilità.
In questo modo due vulnerabilità apparentemente simili possono ottenere punteggi differenti.
Un CVSS 9.8 è sempre più urgente di un CVSS 7.5?
Non necessariamente.
Questo è uno degli errori più comuni nell'utilizzo dei punteggi.
Immaginiamo:
Vulnerabilità A
CVSS 9.8
Server di test non raggiungibile da Internet
Vulnerabilità B
CVSS 7.5
API pubblica utilizzata per gestire dati sensibili
Il punteggio tecnico non incorpora automaticamente tutte le informazioni specifiche della tua organizzazione.
Per decidere cosa affrontare prima bisogna quindi considerare anche il contesto.
Il contesto cambia il rischio
Una vulnerabilità può essere tecnicamente molto severa ma avere un'esposizione limitata.
Al contrario, una vulnerabilità con un punteggio inferiore potrebbe riguardare un sistema:
- esposto direttamente a Internet;
- utilizzato da molti utenti;
- collegato a dati importanti;
- coinvolto in processi critici;
- difficilmente isolabile.
Per questo il vulnerability management non dovrebbe ridursi a ordinare una tabella per:
CVSS DESC
Base, Temporal e Environmental
CVSS può essere utilizzato attraverso diverse prospettive e versioni.
In particolare, alcune metriche possono tenere conto di caratteristiche che cambiano nel tempo o del contesto specifico dell'organizzazione.
Questo aiuta a capire perché il numero associato a una vulnerabilità non dovrebbe essere considerato come una proprietà immutabile del rischio.
Il punteggio è uno strumento di valutazione, non una sentenza.
CVSS e exploit disponibili
Un altro elemento importante è sapere se una vulnerabilità viene effettivamente sfruttata o se esistono exploit pubblici.
Queste informazioni possono essere particolarmente rilevanti per la gestione del rischio.
Una vulnerabilità potrebbe avere un determinato CVSS, ma la presenza di exploit attivi o di evidenze di sfruttamento può cambiare significativamente la priorità operativa.
Questo è un esempio di informazione che va considerata insieme allo scoring.
CVSS non sostituisce il vulnerability management
Una buona gestione delle vulnerabilità dovrebbe combinare più informazioni:
CVSS
+
Esposizione
+
Asset
+
Dati coinvolti
+
Exploitability
+
Contesto
+
Mitigazioni
Il risultato è molto più utile di un singolo numero.
Un esempio pratico
Supponiamo che uno scanner rilevi:
CVE-2026-12345
CVSS: 8.8
La prima cosa da fare non dovrebbe essere necessariamente:
"È 8.8, quindi devo risolverla immediatamente."
È più utile chiedersi:
Quale software?
Quale versione?
Dove è installato?
È esposto a Internet?
Quale asset coinvolge?
La vulnerabilità è realmente applicabile?
Esistono patch?
Esistono mitigazioni?
Esistono exploit conosciuti?
Solo dopo aver raccolto queste informazioni è possibile definire una priorità operativa adeguata.
Perché i security scanner devono stare attenti
Anche per uno scanner automatico, il CVSS non dovrebbe diventare un semplice colore rosso.
Una vulnerabilità può essere:
Rilevata
↓
Correlata a una CVE
↓
Associata a un CVSS
↓
Da verificare
↓
Contestualizzata
↓
Da correggere
Questi passaggi non sono equivalenti.
In particolare, una vulnerabilità identificata sulla base di una versione software rilevata dall'esterno potrebbe richiedere una verifica ulteriore prima di essere considerata confermata.
Come leggere un report
Quando trovi:
CVSS: 7.5
prova a non fermarti al numero.
Cerca anche:
- identificativo CVE;
- versione del software;
- vettore CVSS;
- asset coinvolto;
- esposizione;
- evidenza del rilevamento;
- eventuale exploit noto;
- remediation disponibile.
Queste informazioni permettono di trasformare un semplice punteggio in qualcosa di realmente utilizzabile.
Una regola semplice
Puoi ricordare questa frase:
CVSS misura la severità tecnica; il rischio dipende anche dal contesto.
Non significa che il CVSS sia poco utile.
Al contrario, è uno strumento molto importante.
Significa semplicemente che non dovrebbe essere utilizzato come unica variabile per decidere cosa fare.
MiHakero e la prioritizzazione
Per una piattaforma come MiHakero, questo principio è particolarmente importante.
L'obiettivo di un security scan non dovrebbe essere generare una lista infinita di problemi.
Dovrebbe aiutare a capire:
Cosa è stato rilevato?
Perché è importante?
Dove si trova?
Quanto è esposto?
Cosa posso fare?
Il punteggio CVSS è una parte di questa informazione.
La parte più utile arriva quando viene inserito nel contesto della superficie realmente esposta.
Perché un numero può dirti quanto è severa una vulnerabilità secondo un modello.
Ma per capire cosa affrontare, serve conoscere anche il sistema su cui quella vulnerabilità esiste.