CVSSとは

CVSS（Common Vulnerability Scoring System）は、脆弱性 の深刻度を 0.0〜10.0 の数値で評価する共通の基準です。FIRST が管理しており、最新版は v4.0 で、v3.1 も広く使われています。

深刻度の区分

• なし：0.0
• 低：0.1〜3.9
• 中：4.0〜6.9
• 高：7.0〜8.9
• 緊急：9.0〜10.0

評価の観点

ネットワーク経由で攻撃できるか、攻撃の難しさ、攻撃に必要な権限、利用者の操作が必要か、機密性・完全性・可用性への影響などを組み合わせて数値を求めます。

注意点

ベンダーなどが公表する基本値は、利用環境に関係なく求めた一般的な評価です。実際の対応の優先度は、その製品を使っているか、外部に公開しているか、KEV に載るなど実際の悪用が確認されているかを合わせて判断します。

関連用語

CVE、KEV、脆弱性

参考

• FIRST「Common Vulnerability Scoring System」 https://www.first.org/cvss/