CVSS, KEV y EPSS, la gravedad no es la prioridad

CVSS puntúa una vulnerabilidad de 0.0 a 10.0, y la escala cualitativa la traduce en baja, media, alta o crítica. La puntuación base mide características propias de la vulnerabilidad: por dónde se alcanza, cuánta complejidad tiene, qué impacto causa. No sabe si hay un exploit circulando, si el equipo está en internet ni cuánto vale lo que protege ese equipo.

CVSS v4.0 lo reconoce en su nomenclatura: una puntuación solo base se escribe CVSS-B, y cuando se añaden métricas de amenaza o de entorno, CVSS-BT, CVSS-BE o CVSS-BTE. Así quien lee el número sabe qué se tuvo en cuenta.

Abre los hallazgos con CVE. Dos de ellos tienen el mismo CVSS base de 7.5, y aun así no merecen el mismo turno. Uno consta en el catálogo KEV, que lista vulnerabilidades con explotación observada; el otro no consta y su EPSS de ejemplo es bajo. Encuentra el que no se está explotando y tiene una probabilidad baja.

El catálogo KEV de CISA reúne vulnerabilidades de las que hay evidencia de explotación activa: dice lo que ya pasó. EPSS, del foro FIRST, publica cada día una probabilidad entre 0 y 1 de que un CVE sea explotado en los próximos 30 días: dice lo que es probable. Ninguno de los dos sabe nada de tu cliente. Se usan juntos y con la exposición del equipo.

Una vulnerabilidad en KEV en un equipo al que nadie llega sigue siendo un problema, pero una en KEV en un equipo que sale a internet es un problema para esta semana. Cruza las dos columnas con la consulta que une ambos criterios.

El informe de un pentest muestra CVSS en muchos sitios, y escribirlo mal confunde. Si el número que citas incluye la base y el estado de la amenaza (por ejemplo, la existencia de un exploit), la especificación de CVSS v4.0 pide que se escriba con la nomenclatura que lo indica, y no como si fuera solo la base.