Hooken cvss beregner scoren for en CVSS v4.0-vektor og udskriver dens score og alvorlighedsniveau, den vurdering, som /lagune-plan skriver på hver rettelse og /lagune-prove på hver sikkerhedsmeddelelse. Den er den deterministiske motor bag de vurderinger, med samme aritmetik som lommeregneren fra FIRST, og du kan selv køre den.
Kørsel
Angiv hver vektor med --vector. Hooken udskriver én linje pr. vektor: dens score og niveau.
- Én vektor
- Flere vektorer
- I almindelige ord
npx lagune read cvss --vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N'
# => 9.3, Critical
Gentag --vector for at beregne flere på én gang, én linje hver, i rækkefølge.
npx lagune read cvss \
--vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N' \
--vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/MAV:A'
# => 9.3, Critical
# => 8.7, High
Tilføj --explain for at få hver metrik forklaret i almindelige ord. Når Threat- eller Environmental-metrikker flytter scoren, kommer Base-scoren alene først.
npx lagune read cvss --explain --vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/MAV:A'
# => 8.7, High
# => Base metrics alone: 9.3, Critical
# => Attack Vector: Network, modified to Adjacent
# => Attack Complexity: Low
# => ...
Sådan læser du resultatet
| Niveau | Score |
|---|---|
None | 0.0 |
Low | 0.1 til 3.9 |
Medium | 4.0 til 6.9 |
High | 7.0 til 8.9 |
Critical | 9.0 til 10.0 |
En vektor med kun Base-metrikker vurderer selve fejlen og antager det værste: alle sikkerhedskrav sat til High, og fejlen angrebet i praksis. Environmental-metrikker (MAV og de andre modificerede metrikker samt CR, IR og AR) afgør den for én bestemt udrulning, og Threat-metrikken (E) ud fra, hvad der vides om udnyttelse.
En ugyldig vektor udskriver invalid vector: og hvad der er galt, og hooken afslutter med en kode forskellig fra nul.
CLI-indstillinger
| Indstilling | Værdi | Beskrivelse |
|---|---|---|
--vector | en CVSS:4.0-vektor | Beregn scoren for én vektor. Gentag for at beregne flere, én linje pr. vektor, i rækkefølge. |
--explain | Tilføj hver metrik i almindelige ord under hver linje med en vurdering. |
Mindst én --vector er påkrævet. Vektoren er aldrig et bart positionelt argument, så den kan ikke forveksles med et flag.
Hver vektor angives som værdi til et flag og indsættes aldrig i selve kommandoen. En værdi med anførselstegn eller backticks forbliver uskadelig og kan ikke injicere noget i shellen. Sæt den altid i enkelte anførselstegn, så din shell ikke ekspanderer den først.
Kun CVSS v4.0: en vektor i v2.0, v3.0 eller v3.1 bliver afvist i stedet for at blive vurderet, da Lagune vurderer hvert fund i v4.0.
Valideringen i fasen plan kører den samme aritmetik igen på hver CVSS-linje, så en score, der er gledet væk fra sin vektor, bliver fanget, før planen godkendes.
Ofte stillede spørgsmål
Hooken cvss følger referencelommeregneren fra FIRST til CVSS v4.0, så en vektor får præcis samme score som på webstedet for FIRST.
Nej. Lagune vurderer hvert fund i CVSS v4.0, og hooken afviser enhver anden version i stedet for at vurdere den.
Det forklarer hver metrik i almindelige ord og viser Base-scoren ved siden af den samlede, så alle kan se, hvad vektoren siger, og hvordan projektets kontekst flyttede den.