CVSS v3.1

前回の記事を書いてて気がついたのだが CVSSv3 のバージョンが 3.1 に上がってるぢゃん。

たとえば CVE-2020-0601 の CVSS ベクタは

• CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
• CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

の2つが用意されている。

調べてみたら 3.1 って2019年6月にリリースされてたんだねぇ。 半年以上前の話だよ。 感度低いなぁ，私 orz

3.0 と 3.1 の仕様は以下のリンクから見れる。

• CVSS v3.0 Specification Document
• CVSS v3.1 Specification Document

差分情報がないのでひっじょーに分かりにくいのだが¹，各評価基準の項目と値に変更はなく，スコア算出式のみ変更になっているようだ。 しかも変更されているのは環境評価基準（Environmental Metrics）だけのようなので，私達がよく見る基本評価基準（Base Metrics）は変更なしと見てよさそうだ。

なので上述の CVSS ベクタのスコアはいずれも 8.1 で深刻度（Severity Rating）も「重要（High）」となる。

実は Go 言語で CVSS のパッケージを作って公開しているのだが

• spiegel-im-spiegel/go-cvss: Common Vulnerability Scoring System (CVSS) Version 3

基本評価基準しか実装してないんで大っぴらにしていない。 仕事で使いそうなら続きを作り込もうかと思っていたのだが，職業エンジニア自体が無期休業中だからねぇ（笑）

なお spiegel-im-spiegel/go-cvss については，一応 v3.1 のベクタも受け入れるようにした。

ブックマーク

• 共通脆弱性評価システムCVSS概説：IPA 独立行政法人 情報処理推進機構 : v3.1 に対応しているようだ

  • 共通脆弱性評価システムCVSS v3概説：IPA 独立行政法人 情報処理推進機構 : v3.1 に対応していないように見えるのだが…

• CVSS（共通脆弱性評価システム）3.0から3.1への変更点：OpenSCAPで脆弱性対策はどう変わる？（7） - ＠IT

• JVN が CVSSv3 による脆弱性評価を開始