Contact

Outil gratuit · 100 % navigateur

CVSS 3.1 Calculator

Calculez le score de base CVSS v3.1 d’une vulnérabilité, générez le vecteur et partagez-le par lien.
Traitement local Aucune donnée envoyée Sans compte
01Exploitabilité
Vecteur d’attaque (AV) D’où l’attaquant peut exploiter la faille.
Complexité d’attaque (AC) Conditions hors du contrôle de l’attaquant (course, configuration…).
Privilèges requis (PR) Niveau d’accès nécessaire avant l’attaque.
Interaction utilisateur (UI) Une victime doit-elle agir (clic, ouverture) ?
02Portée
Portée (S) L’impact dépasse-t-il le composant vulnérable (évasion de sandbox, hyperviseur…) ?
03Impact
Confidentialité (C) Accès à des informations non autorisées.
Intégrité (I) Modification de données ou de comportement.
Disponibilité (A) Perte de service, ralentissement, épuisement de ressources.
Avancé : scores temporel et environnemental 0 défini

Optionnels. « Non défini » (X) laisse la valeur de base. Le score environnemental adapte la sévérité à votre système.

04Temporel
Maturité de l’exploit (E) État des techniques et du code d’exploitation disponibles.
Niveau de correction (RL) Disponibilité d’un correctif ou d’un contournement.
Confiance du rapport (RC) Degré de certitude sur l’existence de la vulnérabilité.
05Exigences de sécurité
Exigence de confidentialité (CR) Importance de la confidentialité de cet actif pour l’organisation.
Exigence d’intégrité (IR) Importance de l’intégrité de cet actif.
Exigence de disponibilité (AR) Importance de la disponibilité de cet actif.
06Métriques de base modifiées
Vecteur d’attaque (modifié) (MAV) Valeur dans votre environnement, si elle diffère de la base.
Complexité d’attaque (modifié) (MAC) Valeur dans votre environnement, si elle diffère de la base.
Privilèges requis (modifié) (MPR) Valeur dans votre environnement, si elle diffère de la base.
Interaction utilisateur (modifié) (MUI) Valeur dans votre environnement, si elle diffère de la base.
Portée (modifié) (MS) Valeur dans votre environnement, si elle diffère de la base.
Confidentialité (modifié) (MC) Valeur dans votre environnement, si elle diffère de la base.
Intégrité (modifié) (MI) Valeur dans votre environnement, si elle diffère de la base.
Disponibilité (modifié) (MA) Valeur dans votre environnement, si elle diffère de la base.

Comprendre CVSS 3.1

Le Common Vulnerability Scoring System, maintenu par FIRST, attribue à une vulnérabilité une note de 0 à 10. Le score de base décrit ses caractéristiques intrinsèques, identiques quel que soit l’environnement. Il combine l’exploitabilité, qui décrit ce qu’il faut réunir pour attaquer, et l’impact, qui décrit ce que l’attaquant obtient.

Exploitabilité

Le vecteur d’attaque (AV) vaut Réseau quand la faille est exploitable à distance, y compris depuis Internet. Adjacent couvre le même segment réseau, le Bluetooth ou le Wi-Fi. Local suppose une session ou un fichier ouvert sur la machine, et Physique un accès matériel. La complexité (AC) passe à Élevée si l’attaque dépend de conditions que l’attaquant ne contrôle pas, comme une situation de concurrence ou une configuration rare. L’ingénierie sociale n’entre pas dans ce critère. Les privilèges requis (PR) et l’interaction utilisateur (UI) indiquent si un compte est nécessaire et si une victime doit agir.

Portée et impact

La portée (S) est modifiée quand l’exploitation atteint des ressources hors de l’autorité du composant vulnérable, par exemple une évasion de conteneur ou une XSS qui s’exécute dans le navigateur de la victime. Les impacts C, I et A se notent sur le composant le plus touché. Une portée modifiée change aussi le poids des privilèges requis et la formule d’impact.

Métriques temporelles et environnementales

Les métriques temporelles (maturité de l’exploit, niveau de correction, confiance du rapport) évoluent avec le temps et ne peuvent que baisser le score. Les métriques environnementales pondèrent l’impact selon l’importance de l’actif (exigences CR, IR, AR) et permettent de redéfinir chaque métrique de base pour votre système. Une faille réseau sur un service qui n’écoute que sur la boucle locale devient ainsi MAV:L.

Les limites du score

Un score CVSS ne mesure pas un risque. Une 9,8 sur un serveur isolé peut être moins urgente qu’une 6,5 exploitée activement sur votre passerelle VPN. Croisez le score avec l’exploitation connue (CISA KEV), la probabilité d’exploitation (EPSS) et l’exposition réelle de l’actif.

Le score publié par un éditeur reflète le pire cas raisonnable. Recalculez-le pour votre configuration plutôt que de le recopier. Deux analystes peuvent aussi diverger sur AC ou S : documentez vos choix, car c’est le vecteur qui rend le score vérifiable.

CVSS 3.1 et CVSS 4.0

FIRST a publié CVSS 4.0 en novembre 2023. Cette version ajoute les Attack Requirements, sépare les impacts sur le système vulnérable et sur les systèmes en aval, introduit la nomenclature CVSS-B, BT, BE et BTE, et calcule le score par macro-vecteurs. Cet outil implémente CVSS 3.1, encore la version la plus utilisée dans les CVE, les scanners et les rapports d’audit. Les formules suivent la spécification FIRST, y compris la fonction Roundup de l’annexe A.

?Questions fréquentes

Un score CVSS mesure-t-il le risque ?

Le score de base mesure la sévérité technique d’une vulnérabilité, indépendamment de votre contexte. Le risque dépend en plus de l’exposition réelle, de la valeur de l’actif, de l’exploitation active (catalogue CISA KEV, score EPSS) et des mesures compensatoires. Les métriques environnementales servent à rapprocher le score de votre situation.

Pourquoi une RCE non authentifiée vaut 9.8 et rarement 10 ?

Avec une portée inchangée (S:U), l’impact plafonne à 5,9 et l’exploitabilité à 3,9 : la somme arrondie donne 9,8. Pour atteindre 10,0, il faut une portée modifiée (S:C), c’est-à-dire une attaque qui dépasse le composant vulnérable.

Quand choisir une portée modifiée ?

Lorsque l’exploitation touche des ressources gérées par une autre autorité de sécurité que le composant vulnérable. Exemples courants : évasion de machine virtuelle ou de conteneur, XSS stockée qui s’exécute dans le navigateur de la victime, faille de navigateur qui atteint le système hôte.

Cet outil calcule-t-il CVSS 4.0 ?

Il calcule uniquement CVSS 3.1. La version 4.0, publiée par FIRST en novembre 2023, utilise d’autres métriques (AT, VC/VI/VA, SC/SI/SA) et un calcul par macro-vecteurs. CVSS 3.1 reste la version la plus présente dans les bases CVE et les rapports de pentest.

Mes vecteurs sont-ils envoyés quelque part ?

Le calcul se fait entièrement dans votre navigateur. Le vecteur est écrit dans l’ancre de l’URL (#CVSS:3.1/…) pour que vous puissiez partager le lien, et les navigateurs ne transmettent jamais l’ancre au serveur.

Comment le score est-il arrondi ?

CVSS 3.1 définit une fonction Roundup qui arrondit au dixième supérieur en calculant sur des entiers, pour éviter les erreurs de virgule flottante : 4,000001 donne 4,0 et non 4,1. L’outil applique la formule de l’annexe A de la spécification.

+Autres outils

  • >_
    Reverse Shell Generator

    Payloads de reverse shell, listeners et upgrade TTY.

  • ⟲
    Forge

    Recettes d’encodage et de décodage, à la CyberChef.

  • {·}
    JWT Inspector

    Décodez un JWT, lisez ses claims, repérez les faiblesses.

    Accès rapide