Хук cvss оценивает вектор CVSS v4.0 и выводит его оценку и диапазон критичности, ту оценку, которую /lagune-plan пишет у каждого исправления, а /lagune-prove в каждом бюллетене. Это детерминированный движок, стоящий за этими оценками, с той же арифметикой, что и калькулятор FIRST, и вы можете запускать его сами.
Запуск
Передайте каждый вектор через --vector. Хук выводит по одной строке на вектор: его оценку и диапазон.
- Один вектор
- Несколько векторов
- Простыми словами
npx lagune read cvss --vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N'
# => 9.3, Critical
Повторите --vector, чтобы оценить несколько сразу, по одной строке на каждый, по порядку.
npx lagune read cvss \
--vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N' \
--vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/MAV:A'
# => 9.3, Critical
# => 8.7, High
Добавьте --explain, чтобы прочитать каждую метрику простыми словами. Если метрики Threat или Environmental сдвигают оценку, сначала выводится одна только оценка Base.
npx lagune read cvss --explain --vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/MAV:A'
# => 8.7, High
# => Base metrics alone: 9.3, Critical
# => Attack Vector: Network, modified to Adjacent
# => Attack Complexity: Low
# => ...
Как читать результат
| Диапазон | Оценка |
|---|---|
None | 0.0 |
Low | от 0.1 до 3.9 |
Medium | от 4.0 до 6.9 |
High | от 7.0 до 8.9 |
Critical | от 9.0 до 10.0 |
Вектор только с метриками Base оценивает саму уязвимость, исходя из худшего: каждое требование безопасности High, а уязвимость атакуют в реальном мире. Метрики Environmental (MAV и остальные измененные метрики, а также CR, IR и AR) уточняют оценку для конкретного развертывания, а метрика Threat (E) для того, что известно об эксплуатации.
Для некорректного вектора выводится invalid vector: и описание ошибки, а хук завершается с ненулевым кодом.
Параметры CLI
| Параметр | Значение | Описание |
|---|---|---|
--vector | вектор CVSS:4.0 | Оценивает один вектор. Повторите, чтобы оценить несколько, по одной строке на вектор, по порядку. |
--explain | Добавляет каждую метрику простыми словами под каждой строкой с оценкой. |
Нужен хотя бы один --vector. Вектор никогда не передается как голый позиционный аргумент, поэтому его нельзя принять за флаг.
Каждый вектор передается как значение флага и никогда не подставляется в команду. Значение с кавычками или обратными кавычками остается инертным и не может внедриться в оболочку. Всегда заключайте его в одинарные кавычки, чтобы оболочка не раскрыла его раньше.
Только CVSS v4.0: вектор v2.0, v3.0 или v3.1 отклоняется, а не оценивается, поскольку Lagune оценивает каждую находку в v4.0.
Валидация фазы plan повторяет ту же арифметику для каждой строки CVSS, поэтому оценка, разошедшаяся со своим вектором, отлавливается до того, как план будет принят.
Частые вопросы
Хук cvss следует эталонному калькулятору FIRST для CVSS v4.0, поэтому вектор получает ровно ту же оценку, что и на сайте FIRST.
Нет. Lagune оценивает каждую находку в CVSS v4.0, а хук отклоняет любую другую версию, а не оценивает ее.
Читает каждую метрику простыми словами и показывает оценку Base рядом с итоговой, чтобы любой мог увидеть, что говорит вектор и как контекст проекта сдвинул оценку.