CVSS: как оценивают критичность уязвимостей и почему от неё зависит цена
KEMEL.TECH · Обновлено
CVSS (Common Vulnerability Scoring System) — международная шкала оценки уязвимостей от 0 до 10. Диапазоны: LOW 0.1–3.9, MEDIUM 4.0–6.9, HIGH 7.0–8.9, CRITICAL 9.0–10.0. Чем выше оценка, тем быстрее нужно исправлять. В KEMEL.TECH стоимость каждой найденной уязвимости определяется её уровнем CVSS.
Уровни критичности
- CRITICAL (9.0–10.0): например, удалённое выполнение кода, SQL-инъекция, обход авторизации. Исправлять немедленно.
- HIGH (7.0–8.9): например, хранимый XSS, IDOR, ошибки JWT. Исправлять в ближайшем релизе.
- MEDIUM (4.0–6.9): например, CSRF, отражённый XSS, ошибки OAuth и CORS. Планово.
- LOW (0.1–3.9): например, заголовки безопасности, настройки SSL. По мере возможности.
От чего зависит оценка
Оценка учитывает, как атаковать (через сеть или локально), насколько это сложно, нужны ли права и действия пользователя и какое влияние на конфиденциальность, целостность и доступность данных.
Как это связано с ценой
В модели «платите за найденное» цена привязана к уровню CVSS: от 15 000 ₸ за LOW до 600 000 ₸ за CRITICAL. Это делает расчёт прозрачным: клиент заранее знает тариф за каждую категорию, а дубликаты не оплачиваются повторно.
Частые вопросы
- Что значит CVSS 9.8?
- Это уровень CRITICAL: уязвимость почти наверняка позволяет серьёзно нарушить работу или получить доступ к данным. Исправлять нужно немедленно.
- Всегда ли высокий CVSS означает высокий риск для бизнеса?
- Нет. Оценка описывает техническую тяжесть. Реальный риск зависит от того, какие данные и системы затронуты. Поэтому находки подтверждаются вручную и сопровождаются пояснением.