Хук cvss оцінює вектор CVSS v4.0 і виводить його оцінку й рівень критичності, тобто рейтинг, який /lagune-plan записує для кожного виправлення, а /lagune-prove для кожного бюлетеня безпеки. Це детермінований рушій цих рейтингів з тією самою арифметикою, що й калькулятор FIRST, і ви можете запускати його самі.
Запуск
Передайте кожен вектор через --vector. Хук виводить по рядку на вектор: його оцінку й рівень.
- Один вектор
- Кілька векторів
- Простими словами
npx lagune read cvss --vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N'
# => 9.3, Critical
Повторіть --vector, щоб оцінити кілька векторів одразу, по рядку на кожен, у тому самому порядку.
npx lagune read cvss \
--vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N' \
--vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/MAV:A'
# => 9.3, Critical
# => 8.7, High
Додайте --explain, щоб прочитати кожну метрику простими словами. Коли метрики Threat чи Environmental змінюють оцінку, спершу йде оцінка лише за метриками Base.
npx lagune read cvss --explain --vector 'CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/MAV:A'
# => 8.7, High
# => Base metrics alone: 9.3, Critical
# => Attack Vector: Network, modified to Adjacent
# => Attack Complexity: Low
# => ...
Як читати результат
| Рівень | Оцінка |
|---|---|
None | 0.0 |
Low | від 0.1 до 3.9 |
Medium | від 4.0 до 6.9 |
High | від 7.0 до 8.9 |
Critical | від 9.0 до 10.0 |
Вектор лише з метриками Base оцінює саму ваду, припускаючи найгірше: кожна вимога безпеки має рівень High, а вада зазнає атак у реальному світі. Метрики Environmental (MAV та інші змінені метрики, а також CR, IR і AR) уточнюють оцінку для конкретного розгортання, а метрика Threat (E) для того, що відомо про експлуатацію.
Недійсний вектор виводить invalid vector: і що з ним не так, а хук завершується з ненульовим кодом.
Параметри CLI
| Параметр | Значення | Опис |
|---|---|---|
--vector | вектор CVSS:4.0 | Оцінити один вектор. Повторіть, щоб оцінити кілька, по рядку на вектор, у тому самому порядку. |
--explain | Додати кожну метрику простими словами під кожним рядком рейтингу. |
Потрібен щонайменше один --vector. Вектор ніколи не передається як окремий позиційний аргумент, тож його неможливо сплутати з прапорцем.
Кожен вектор передається як значення прапорця й ніколи не підставляється в команду. Значення з лапками чи зворотними апострофами залишається інертним і не може здійснити ін'єкцію в оболонку. Завжди беріть його в одинарні лапки, щоб ваша оболонка не розгорнула його першою.
Лише CVSS v4.0: вектор v2.0, v3.0 чи v3.1 відхиляється, а не оцінюється, бо Lagune оцінює кожну знахідку у v4.0.
Валідація фази plan повторює цю саму арифметику для кожного рядка CVSS, тож оцінку, що розійшлася зі своїм вектором, буде виявлено ще до того, як план приймуть.
Часті запитання
Хук cvss дотримується еталонного калькулятора FIRST для CVSS v4.0, тож вектор отримує точно таку саму оцінку, як на сайті FIRST.
Ні. Lagune оцінює кожну знахідку в CVSS v4.0, а хук відхиляє будь-яку іншу версію, а не оцінює її.
Він читає кожну метрику простими словами й показує оцінку Base поруч із загальною, тож будь-хто бачить, що каже вектор і як контекст проєкту змінив оцінку.