¿CVSS v3 evalúa el impacto de la vulnerabilidad en el host?

Sí lo hace. La puntuación base de CVSS 3 se calcula utilizando ocho factores:

• El impacto está determinado por el alcance, la confidencialidad, la integridad y la disponibilidad.
• Probabilidad está determinada por: vector de ataque, complejidad del ataque, privilegios requeridos e interacción del usuario.

Un buen lugar para aprender acerca de estos es la calculadora en línea .

El problema con CVSS y Heartbleed es que no tiene en cuenta vulnerabilidades encadenadas . La verdadera preocupación es que un atacante usa Heartbleed contra su servidor VPN, roba credenciales, usa las credenciales para conectarse y luego causa estragos en su red. Al utilizar CVSS solo considera el primer bit, por lo que no hay impacto para la confidencialidad y la integridad. Y con CVSS 2, el impacto de la confidencialidad es "parcial" y no "completo".

CVSS 3 funciona un poco mejor; Puntuación Heartbleed como 8.6 . Las clasificaciones de impacto ahora son bajas / altas en lugar de parciales / completas. Heartbleed es sin duda un alto impacto de confidencialidad, incluso si no está completo. También introducen el factor de "alcance" un tanto oscuro. Heartbleed ha cambiado el alcance, ya que está accediendo a la memoria fuera del alcance previsto de una conexión SSL. Sin embargo, CVSS 3 aún no tiene en cuenta las vulnerabilidades encadenadas.

También hay puntuaciones CVSS temporales y ambientales que agregan factores adicionales. La idea es que te ayuden a medir cosas como "este cuadro en particular es un gran riesgo en este momento". Sin embargo, he encontrado que los puntajes temporales y ambientales son raramente usados y no son particularmente útiles.

No, no lo hace. CVSS v3 aún evalúa el impacto, pero en relación con el componente afectado y no necesariamente el host.

Considere el caso en el que hackea totalmente una aplicación web, donde obtiene derechos administrativos y puede leer y manipular todos los datos. Esto tendría un serio impacto en relación con la aplicación (es decir, el componente), pero un bajo impacto en el host o el sistema operativo. En CVSS 2, el impacto se calificó en relación con el host, pero en CVSS 3 se califica en relación con el componente afectado.

  

CVSS v2.0 presentó dificultades para los proveedores al puntuar vulnerabilidades que comprometen completamente su software, pero solo afectan parcialmente al sistema operativo del host. En v2.0, las vulnerabilidades se califican en relación con el sistema operativo host, lo que llevó a un proveedor de aplicaciones a adoptar una convención métrica de impacto "Parcial +". CVSS v3.0 aborda este problema con actualizaciones sobre dónde se califican las métricas de impacto y una nueva métrica llamada Ámbito (que se explica más adelante).

     

Al calificar vulnerabilidades en CVSS v3.0, las métricas de explotabilidad se califican en relación con el componente vulnerable. Es decir, se puntúan considerando el componente que sufre la falla de codificación. Por otro lado, las métricas de impacto se califican en relación con el componente afectado.

Source

Heartbleed es uno de los ejemplos de CVSS , así que esa es una fuente bastante autoritaria en la puntuación CVSS correcta de Heartbleed.