CVE-Scoring a CVE-Sécherheet si wesentlech fir modern Softwareapplikatioune virun neie Cyberbedrohungen ze schützen. D'Identifizéierung a Prioriséierung vu Schwachstelle erméiglecht et Organisatiounen, déi kriteschst Risiken als éischt unzegoen. CVE-Scoring bitt eng standardeng isoléiert Method fir Schwachstelle no Gravitéit ze klasséieren, während CVE-Sécherheetspraktiken garantéieren, datt dës Risiken richteg geréiert a reduzéiert ginn.
An 2025, 48,185 CVEs goufen publizéiert, eng Erhéijung vun 20.6% am Verglach zu 39,962 am Joer 2024, an 38% goufen als héich oder kritesch bewäert. Well de Volume sou séier wiisst, ass eng staark CVE-Scoring- a Sécherheetsstrategie net méi optional; et ass eng Noutwennegkeet.
De gréissere Problem ass net nëmmen de Volumen, mee och datt traditionell Analysen net domat mithale kënnen. Den NVD vum NIST huet am Joer 2025 bal 42,000 CVEs beräichert, 45% méi wéi an all Joer virdrun, awer dat war ëmmer nach net genuch fir mat der steigender Zuel vun den Umeldungen mitzehalen. Als direkt Resultat kruten nëmmen 28% vun den nei verëffentlechte CVEs am Joer 2025 eng voll NVD-Beräicherung (CVSS-Score, CWE-Klassifikatioun, CPE-Donnéeën), wat e staarke Réckgang vun 46.2% am Joer 2024 ass. Dës Zuelen ënnersträichen déi wuessend Dringlechkeet fir Organisatiounen, hir eege CVE-Sécherheetsmoossnamen ëmzesetzen, anstatt sech eleng op d'NVD-Donnéeën ze verloossen, déi rechtzäiteg ukommen.
Wat ass CVE Scoring a firwat ass et wichteg fir CVE Sécherheet?
CVE steet fir Common Vulnerabilities and Exposures, eng Lëscht vun ëffentlech bekannte Cybersécherheetsschwachstellen an -exposures. All Entrée an der CVE-Lëscht kritt en eenzegaartegen Identifizéierer, deen als CVE ID bezeechent gëtt, deen spezifesch op eng Schwachstelle bezitt. D'MITRE Corporation verwalt dëst System, standardwéi Schwachstelle identifizéiert a katalogiséiert ginn. Dëst garantéiert datt jiddereen am Beräich vun der Cybersécherheet déiselwecht Referenz benotzt wann et ëm spezifesch Bedrohungen geet.
CVE-Scoreing besteet doran, all CVE-Eintrag ze evaluéieren an eng numeresch Score op Basis vu senger Schwéierkraaft zouzeweisen. Dëse Score hëlleft Organisatiounen, de Prioritéitsniveau fir d'Léisung vun der Schwachstelle ze bestëmmen.
Et erlaabt hinnen, Ressourcen effektiv ze verdeelen a potenziell Risiken ze reduzéieren. De CVE-Scoresystem evaluéiert Faktoren wéi d'Liichtegkeet vun der Exploitabilitéit. Et berécksiichtegt och den Impakt op Vertraulechkeet, Integritéit a Verfügbarkeet (dacks als "CIA-Triade" bezeechent). Zousätzlech bewäert et de Potenzial fir Sanéierung.
Wéi NVD, d'MITRE CVE Lëscht an d'CVE Scoring zesumme funktionéieren
Verständnis vum Zesummenhang tëscht der Nationaler Schwachstelledatenbank (NVD), dem MITRE Lëscht, an CVE-Sécherheet ass essentiell fir ze verstoen, wéi Schwachstelle am Cybersécherheetsökosystem geréiert ginn.
D'MITRE CVE Lëscht fänkt domat un, Schwachstelle festzestellen an hinnen eng CVE ID zouzeweisen. Dës Lëscht liwwert awer nëmmen déi grondleeënd Informatiounen iwwer all Schwachstelle. Den NVD, deen vun der ... bedriwwe gëtt National Institut vun Standards an Technologie (NIST), beräichert dës Donnéeën andeems se detailléiert Beschreiwungen, Referenzen a virun allem CVE-Scores ubidden Common Vulnerability Scoring System (CVSS).
NVD ass eng wichteg Ressource, well se als Späicherplatz vun standards-baséiert Schwachstelledaten, déi Organisatiounen hëllefen, den Impakt vun enger Schwachstelle méi ëmfaassend ze verstoen. NVD enthält net nëmmen CVSS-Scores, mä och detailléiert Informatiounen wéi:
- Detailléiert Beschreiwunge vun all Schwachstelle, inklusiv technesch Detailer an de Kontext, an deem d'Schwachstelle kéint ausgenotzt ginn.
- Impaktmetriken déi weisen, wéi d'Schwachstelle verschidden Deeler vum System vun enger Organisatioun beaflosse kéint.
- Informatiounen iwwer d'Sanéierung wéi zum Beispill Linken op Patches, Berodungen a Mitigatiounsmoossnamen.
Wéinst senger ëmfaassender Natur ass den NVD déi richteg Quell fir Organisatiounen, wa se déi real Auswierkunge vun enger Schwachstelle mussen evaluéieren a verstoe wéi se se effektiv behiewen kënnen.
CVSS: Dat heefegst CVE-Scoresystem an der Cybersécherheet
Déi am meeschte verbreet Method fir CVE-Scoring ass d' Common Vulnerability Scoring System (CVSS), ënnerhale a vum Forum vun Incident Response and Security Teams (FIRST) entwéckelt. CVSS bitt eng standardeng isoléiert Method fir d'Gravitéit vu Schwachstelle ze moossen, wat et fir Organisatiounen méi einfach mécht, ze prioriséieren, wéi eng als éischt ugepaakt solle ginn.
Genauer gesot, bewäert CVSS Schwachstelle op enger Skala vun 0 bis 10. Hei representéiert 0 kee Risiko an 10 den héchste Schwéiergrad. Ausserdeem baséiert d'Bewäertung op véier Haaptmetrikgruppen:
Basis Score:
Dëst reflektéiert déi intrinsesch Charakteristike vun enger Schwachstelle, déi iwwer d'Zäit an iwwer verschidde Benotzerëmfeld konstant sinn. De Basis-Score berücksichtegt Faktoren wéi d'Ausnotzbarkeet. Dëst bezitt sech op wéi einfach et ass, d'Schwachstelle auszenotzen. Et evaluéiert och den Impakt op Vertraulechkeet, Integritéit a Verfügbarkeet.
Temporär Partitur:
Dëst passt de Basis-Score un, baséiert op Faktoren, déi sech mat der Zäit änneren, wéi zum Beispill ob e Fix verfügbar ass oder ob en Exploit aktiv benotzt gëtt. Zäitlech Metriken enthalen d'Reife vum Exploitcode, den Niveau vun der Sanéierung an d'Vertraue vum Rapport.
Ëmweltscore:
Dëst erlaabt et Organisatiounen, de CVSS-Score unzepassen, fir den Impakt vun der Schwachstelle an hirer spezifescher Ëmwelt ze reflektéieren. Et berücksichtegt Faktoren wéi d'Wichtegkeet vum betraffene System an de potenziellen Kollateralschued.
Zousätzlech Metrikgrupp:
Et gëtt am CVSS v4.0 agefouert a bitt zousätzleche Kontext, deen d'Gesamtrisikobewertung beaflosse kann. Dëst enthält Iwwerleeungen wéi Sécherheetsufuerderungen, automatiséierbar Metriken (déi moossen, wéi d'Automatiséierung d'Exploitatioun beaflosst) an eenzegaarteg Charakteristiken, déi vläicht net an déi aner Metrikgruppen passen. Och wann de gesamte CVSS-Score dës Metriken net enthält, bidden se wäertvoll Abléck. Dofir hëllefen se Organisatiounen, méi informéiert Entscheedungen ze treffen.cisGedanken iwwer d'Gestioun vu Schwachstelle.
Déi lescht Versioun, CVSS v4.0, féiert dës Verbesserungen an, fir d'Genauegkeet an d'Benotzbarkeet vum Schwachstelle-Score ze verbesseren. Duerch d'Verfeinerung vun de Metriken erfaasst CVSS v4.0 d'Komplexitéit an de Kontext vu Schwachstelle méi effektiv. Dëst garantéiert, datt d'Scores eng méi präzis Iwwersiicht bidden.cise Reflexioun vum tatsächleche Risiko.
Beispill aus der Praxis: CVE-2021-44228 (Log4Shell)
Fir ze illustréieren, wéi CVE-Scoring an der Praxis funktionéiert, kucke mer eis CVE-2021-44228 un, allgemeng bekannt als Log4Shell. Dëst Schwachstelle an der Apache Log4j 2 Bibliothéik erlaabt Remote Code Execution (RCE). Dofir kéint en Ugräifer d'Kontroll iwwer e betraffene System iwwerhuelen.
- CVE-ID: CVE-2021-44228
- CVSS Basis Score: 10.0 (kritesch)
- Attack Vektor: Netzwierk (N) – Auswärts ausnotzbar.
- Attackkomplexitéit: Niddreg (L) – Einfach ze exploitéieren.
- Noutwendeg Privilegien: Keen (N) – Keng Privilegien néideg.
- Benotzer Interaktioun: Keen (N) – Keng Benotzerinteraktioun ass erfuerderlech.
- Ëmfang: Geännert (C) – Beaflosst Ressourcen, déi iwwer hiren ursprénglechen Ëmfang erausgoen.
- Impakt op Vertraulechkeet, Integritéit, Disponibilitéit: Héich (H) – Komplette Kompromëss vu Vertraulechkeet, Integritéit a Verfügbarkeet.
NVD huet e CVSS-Score vun 10.0 uginn, wat den héchste Schwéiergrad ugeet. Déi verbreet Natur vun dëser Schwachstelle, zesumme mat der einfacher Ausnotzung, huet se zu enger Top-Prioritéit fir d'Sanéierung weltwäit gemaach.
Erausfuerderungen am CVE-Scoring an hiren Impakt op d'CVE-Sécherheet
Während de Allgemeng Schwachstelle a Belaaschtungen (CVE) System bitt eng standardIsoléiert Method fir Schwachstellen z'identifizéieren an ze verfollegen, beaflossen e puer Aschränkungen seng Effizienz beim Gestioun vu Risiken.
CVE-2021-44228 (Log4Shell) illustréiert dës Erausfuerderungen:
- Limitéiert Detailer iwwer d'Ausbeutung: CVE-2021-44228 liwwert en eenzegaartegen Identifikateur, awer et feelt u komplette Detailer doriwwer, wéi Attacker en ausnotze kéinten. Och wann Experten et als kritesch betruechten, erkläert den CVE-Eintrag net vollstänneg déi genee Methoden, déi d'Attackéierer benotzen, oder déi spezifesch Konfiguratiounen, déi d'Vulnerabilitéit erhéijen. Dës Lück léisst Organisatiounen onsécher iwwer de Risiko an der realer Welt.
- Variabilitéit an der Berichterstattung: CVE Opzeechnunge variéiere staark a punkto Inhalt a Qualitéit. E puer, wéi z.B. CVE-2021-44228, bidden detailléiert Beschreiwungen an technesch Informatiounen, während aner kuerz oder onvollstänneg bleiwen. Dës Inkonsistenz ass eng Erausfuerderung fir Organisatiounen, wa se probéieren, de Risiko vun enger Schwachstelle baséiert eleng op hirem CVE-Eintrag ze bewäerten.
- Mangel u kontextueller Relevanz: CVE Entréeën benotzen eng standardasséiert Format, dat net onbedéngt de spezifesche Kontext vun ënnerschiddlechen Ëmfeld reflektéiert. Zum Beispill, CVE-2021-44228 beaflosst Systemer ënnerschiddlech jee no der Infrastruktur vun enger Firma. Dës Fehlausrichtung féiert zu ongenaue Risikobewertungen, wann d'CVE-Detailer net mat der spezifescher Ëmwelt iwwereneestëmmen.
- Verspéidung vun der Offenlegung: Et gëtt dacks eng Zäit tëscht der Entdeckung vun enger Schwachstelle an der Bäisetzung an der CVE-Datebank. Wärend dëser Zäit kéinten Ugräifer Schwachstelle wéi ... ausnotzen. CVE-2021-44228 ier se ëffentlech ginn, wat de Risiko wéinst Verspéidungen bei der Sensibiliséierung a Sanéierung erhéicht.
- Fokus op bekannt Schwachstelle: CVE D'Entréeën decken nëmmen ëffentlech bekannt gemaachte Schwachstellen of, soudatt Null-Day-Schwachstellen an net bekannt gemaachte Bedrohungen net berücksichtegt ginn. Eleng op CVE setzt Organisatiounen nei opkomende Risiken aus, déi d'Datebank nach net katalogiséiert huet.
- Onkonsequent Qualitéit vun den Entréeën: D'Qualitéit vun CVE D'Entréen variéieren jee no Quell. E puer, wéi z.B. CVE-2021-44228, kréien reegelméisseg Aktualiséierungen mat neien Detailer, während aner statesch bleiwen, wat zu Inkonsistenzen a potenziellen Datenlücken féiert.
- Den NVD-Beräicherungsréckstand: Och nodeems eng CVE publizéiert gouf, gëtt et keng Garantie, datt se direkt bewäert gëtt. 54,914 CVEe vun 2024-2025 bleiwen an der NVD-Warteschlaang a waarden op eng komplett Analyse. Am Abrëll 2026 huet den NIST ugekënnegt, datt en elo nëmmen déi direkt Beräicherung fir CVEe prioritär behandelt. CISA säi Katalog iwwer bekannt ausgenotzt Schwachstelle (KEV), Software, déi an der Bundesregierung benotzt gëtt, a kritesch Software wéi am Executive Order 14028 definéiert. Alles anescht gëtt no Best-Effort-Basis beräichert, dat heescht, déi meescht Organisatiounen kënnen net méi dovun ausgoen, datt e CVSS-Score verfügbar ass, wann se en am meeschte brauchen.
EPSS: Verbesserung vun der CVE-Sécherheet fir e komplette Schwachstellemanagement
CVE-2021-44228 ënnersträicht och wou de Common Vulnerability Scoring System (CVSS), obwuel robust, ass net genuch. Dëse Manktem ënnersträicht d'Wichtegkeet vun der Exploit Prediction Scoring System (EPSS).
Wat ass EPSS?
EPSS benotzt e datenorientéierte Kader fir d'Wahrscheinlechkeet vun Ausnotzung fir Schwachstelle wéi z.B. CVE-2021-44228 bannent den nächsten 30 Deeg. Am Géigesaz CVSS, wat de potenziellen Impakt moosst, EPSS schätzt d'Wahrscheinlechkeet vun der Exploitatioun op Basis vun historeschen Donnéeën an Trends.
Firwat ass EPSS wichteg?
- Verbessert Prioriséierung: EPSS erméiglecht et Organisatiounen, Schwachstelle net nëmmen no Gravitéit, mä och no der Wahrscheinlechkeet vun Ausnotzung ze prioritéieren. Zum Beispill, wann Sécherheetsteams wëssen, datt CVE-2021-44228 eng héich Wahrscheinlechkeet vun Ausbeutung huet, konzentréiere si sech op Sanéierungsmoossnamen do wou se se am meeschte brauchen.
- Proaktiv Verteidegung: EPSS erlaabt Sécherheetsteams präventiv Moossnamen géint wahrscheinlech ausgenotzt Schwachstelle ze huelen, wouduerch de Risiko vun erfollegräichen Attacken reduzéiert gëtt.
- Kontextuell DecisIonenproduktioun: EPSS liwwert zousätzleche Kontext, deen CVSS eleng kéint verpassen, wéi zum Beispill d'Identifizéierung vu Schwachstelle vun Attacker, déi aktiv gezielt ginn. Dëst féiert zu méi informéierten a strategeschen Entworf.cisIonenbildung.
- Ressource Optimisatioun: Fir Organisatiounen mat limitéierten Ressourcen, EPSS hëlleft Efforten effizient op Schwachstelle zouzeweisen, déi déi gréisst Bedrohung duerstellen, wat eng méi effektiv Verteidegungsstrategie garantéiert.
Aschränkungen vun EPSS
Trotz senge Virdeeler, EPSS huet Grenzen. Et baséiert op historeschen Donnéeën, déi net ëmmer déi aktuell Bedrohungslandschaft reflektéieren. Säi kuerzfristege Fokus op d'Prognose vun der Exploitatioun bannent 30 Deeg kéint laangfristeg Bedrohungen iwwersinn.
EPSS liwwert allgemeng Abléck ouni de spezifesche Kontext vun eenzelnen Ëmfeld ze berücksichtegen. Schlussendlech hänkt et vu fréiere Exploitatiounsmuster of, déi eventuell net séier Ännerungen an Attacktechniken oder nei entdeckt Schwachstelle erfassen.
CVE an EPSS ausbalancéieren fir optimal Schwachstellemanagement
Fir Schwachstelle effektiv ze managen, mussen Organisatiounen d'Limiten vun deenen zwou Zorte verstoen an adresséieren. CVSS an EPSSD'Integratioun vun dësen Tools gëtt eng méi ëmfaassend Vue op d'Vulnerabilitéitslandschaft. Dësen Usaz balanséiert d'Gravitéit mat der Wahrscheinlechkeet vun Ausnotzung, wat zu bessere Prioritéiten, informéierten Entwécklungen a ... féiert.cisIonenproduktioun a verbessert Cybersécherheetsresultater.
Gräift der Erausfuerderung vun der Prioriséierung vu kritesche Schwachstelle un
An dësem Blogartikel hu mir d'Komplexitéite vum CVE-Scoring, déi entscheedend Roll vun der National Vulnerability Database (NVD) a wéi Tools wéi den Exploit Prediction Scoring System (EPSS) dem Schwachstellemanagement Déift ginn, andeems se d'Wahrscheinlechkeet vun enger Exploitatioun viraussoen. Fir Schwachstelle effektiv ze verwalten, brauch een awer méi wéi nëmmen d'Verständnis vun dëse Konzepter - et erfuerdert eng ëmfaassend Approche, déi sech un déi spezifesch Sécherheetsbedürfnisser vun Ärer Organisatioun upasst.
Aus ongeféier 176,000 bekannt Schwachstelle, iwwer 19,000 hunn e CVSS-Score vun 9.0–10.0, wat kritesch Risiken ugeet. D'Majoritéit – ongeféier 77.5 % – läit awer an engem mëttleren Scoreberäich vun 4.0 bis 8.0. Dës breet Verdeelung ënnersträicht d'Erausfuerderung: Prioritéit ze setzen, wéi eng Schwachstelle fir d'éischt ugepaakt solle ginn a wéi een dat mat limitéierte Ressourcen maache kann, wärend eng robust Verteidegung erhale bleift.
Xygeni seng Softwarekompositiounsanalyse (SCA) Dës Léisung adresséiert dës Erausfuerderung andeems se CVE-Scoring mat EPSS an aner kontextuellen Tools integréiert, wat Iech e komplett Bild vun Ärer Schwachstellelandschaft gëtt. Eis Léisung scannt Är Codebasis grëndlech iwwer verschidde Quellen, dorënner NPM, GitHub an OWD, a suergt dofir, datt Dir keng potenziell Sécherheetsbedrohungen verpasst.
Wéi Xygeni seng SCA Léisung setzt CVE Scoring an Aktioun ëm
Vun den 48,185 CVEs, déi am Joer 2025 publizéiert goufen, goufen 38% als héich oder kritesch bewäert, an den duerchschnëttleche CVSS-Score fir d'Joer war 6.60. Dat sinn eng ganz Rëtsch "kritesch" an "héich" Bewäertungen, déi ëm déiselwecht limitéiert Sanéierungsressourcen konkurréieren, an dat ass ier d'Tatsaach berécksiichtegt gëtt, datt nëmmen 28% vun de CVEs vun 2025 iwwerhaapt eng voll NVD-Beräicherung kruten.
Xygeni seng Softwarekompositiounsanalyse (SCA) Dës Léisung adresséiert dës Erausfuerderung andeems se CVE-Scoring mat EPSS an zousätzleche kontextuellen Signaler integréiert, wat Iech e komplett Bild vun Ärer Schwachstellelandschaft gëtt, onofhängeg dovun ob NVD et fäerdeg bruecht huet, eng bestëmmte CVE ze beräicheren. Si scannt Är Codebasis iwwer npm, GitHub an aner Open-Source-Registrierungen, sou datt näischt onnotéiert duerchgeet.
Hei ass, wéi et Är Strategie fir d'Gestioun vu Schwachstelle ergänzt:
- CVE-Scoring + EPSS-Integratioun. Wann Dir d'Gravitéit (CVSS) mat der Ausbeutungswahrscheinlechkeet (EPSS) kombinéiert, korrigéiert Äert Team dat, wat tatsächlech am Fräien ausgenotzt gëtt, net nëmmen dat, wat um Pabeier am héchste Punkt ass.
- Erreechbarkeetsanalyse. Xygeni hält net do op, wou et heescht "dës CVE existéiert an Ärem Ofhängegkeetsbam". Et bestëmmt, ob de vulnérabele Code-Pfad tatsächlech an Ärer Applikatioun erreechbar ass, reduzéiert doduerch de Kaméidi dramatesch a konzentréiert sech op d'Sanéierung op ausnotzbar Risiken.
- Kontextuell Bewosstsinn. Indem Xygeni gläichzäiteg vu verschiddene Berodungsquellen a Bewäertungssystemer inspiréiert gëtt, adaptéiert sech et un d'spezifesch Ëmwelt vun Ärer Organisatioun, anstatt eng universell Gravitéitsscore ze benotzen.
- Kontinuéierlech Iwwerwaachung & Echtzäitalarmer. Nei CVEs an nei EPSS-Scores ginn dauernd publizéiert. Xygeni iwwerwaacht kontinuéierlech, sou datt eng Schwachstelle, déi gëschter eng niddreg Prioritéit hat, an haut aktiv ausgenotzt gëtt, net onnotéiert bleift.
D'Resultat: Well iwwer en Drëttel vun den neie CVEs schonn als "Héich" oder "Kritesch" markéiert sinn, an d'NVD-Beräicherung all Joer méi hannendrun fällt, ass et net realistesch, all Befund manuell ze triagéieren. Xygeni hëlleft Ärem Team, sech op déi kleng Fraktioun ze konzentréieren, déi an Ärer Ëmwelt souwuel eescht wéi och wierklech ausnotzbar ass.
Ufro eng Demo or fänkt e gratis un fir ze kucken, wéi Xygeni CVE-Scoring an eng prioritär, ëmsetzbar Schwachstellemanagementstrategie verwandelt.
FAQs
Wat ass den Ënnerscheed tëscht CVE, CVSS an NVD?
E CVE ass en eenzegaartegen Identifikateur fir eng spezifesch Schwachstelle. CVSS (Common Vulnerability Scoring System) ass de Bewäertungsrahmen, deen benotzt gëtt fir d'Gravitéit vun enger Schwachstelle vun 0 bis 10 ze bewerten. Den NVD (National Vulnerability Database) ass de Späicher, deen vum NIST ënnerhale gëtt, deen all CVE mat sengem CVSS-Score, Beschreiwungen a Remediatiounsreferenzen beräichert.
Wat ass EPSS, a wéi ënnerscheet et sech vum CVSS?
EPSS (Exploit Prediction Scoring System) schätzt d'Wahrscheinlechkeet, datt eng Schwachstelle an den nächsten 30 Deeg ausgenotzt gëtt, baséiert op realen Ausbeutungsdaten. CVSS moosst potenziell Schwachstelle. Gravitéit wann ausgenotzt; EPSS moosst d' méiglecherweis vun der Ausbeutung. Wann een déi zwee zesummen benotzt, gëtt dat e vill méi geneeë Prioritéitssignal wéi all eenzel.
Firwat ass keen Héichpunkt Ass de CVSS-Score genuch fir eng Schwachstelle ze prioritéieren?
E CVSS-Score reflektéiert déi theoretesch Gravitéit, net de Risiko am realen Liewen. Eng "kritesch" Schwachstelle mat engem Score vun 9.8, déi an Ärer spezifescher Codebasis net erreechbar ass oder keng bekannt aktiv Ausnotzung huet, kann eng méi niddreg Prioritéit hunn wéi eng "mëttel", déi Attacker am Moment aktiv ausnotzen. Dofir ass d'Kopplung vu CVSS mat EPSS an der Erreechbarkeetsanalyse wichteg.
Wéi vill CVEe ginn all Joer publizéiert?
De CVE-Volumen ass vu Joer zu Joer konsequent gewuess, mat Zéngdausende vun neie Schwachstelle, déi all Joer opgedeckt ginn. Wéinst dësem Ausmooss ass manuell Triage fir déi meescht Organisatiounen net realistesch, dofir ass eng automatiséiert, kontextbewosst Prioriséierung (CVSS + EPSS + Erreechbarkeet) essentiell ginn.
Wat ass CVE-2021-44228 (Log4Shell), a firwat gëtt et als Beispill benotzt?
Log4Shell ass eng kritesch Schwachstelle fir d'Ausféierung vu Remote-Code an Apache Log4j 2, déi 10.0 (déi maximal) op CVSS krut. Si gëtt wäit verbreet als Léierbeispill benotzt, well se netzwierkbaséiert Exploitabilitéit, keng erfuerderlech Privilegien a keng Benotzerinteraktioun kombinéiert, wat genee illustréiert, wéi "kritesch" am CVSS-Framework ausgesäit.
