Qué es CVSS y cómo interpretar su puntuación
Autor: Redacción Domeny.ForSale Publicado
En resumen: CVSS (Common Vulnerability Scoring System) es un estándar internacional abierto para evaluar la gravedad técnica de las vulnerabilidades, es decir, los fallos de seguridad del software y los sistemas. Su puntuación de 0 a 10 ayuda a comparar vulnerabilidades, pero por sí sola no determina el riesgo para una empresa concreta. Al establecer el orden de las correcciones, también hay que comprobar, entre otras cosas, desde dónde se puede acceder al sistema afectado, la importancia de los datos que procesa y la información sobre la explotación real del fallo.
¿Qué mide CVSS y qué no refleja?
CVSS describe las condiciones necesarias para explotar una vulnerabilidad y las posibles consecuencias de un ataque exitoso. Tiene en cuenta, entre otros factores, cómo se accede al componente vulnerable, los privilegios necesarios y si se requiere la participación del usuario. También evalúa el impacto en la confidencialidad, la integridad y la disponibilidad: la protección de la información frente a su divulgación, su modificación no autorizada y la pérdida de acceso, respectivamente.
FIRST, una organización que agrupa a equipos de respuesta a incidentes de seguridad, desarrolla y mantiene el estándar. Esta forma unificada de describir las vulnerabilidades facilita a los fabricantes de software, administradores y analistas la comparación de las evaluaciones. Sin embargo, no significa que todos los fallos con la misma puntuación requieran una respuesta idéntica.
La gravedad de una vulnerabilidad no es lo mismo que el riesgo. La evaluación técnica describe las características del fallo. El riesgo también depende de si la empresa utiliza la función vulnerable, de quién tiene acceso a ella y de las consecuencias que tendría que un atacante tomara el control del sistema.
¿Cómo interpretar la escala de 0 a 10?
CVSS v3.1 y v4.0 utilizan los siguientes intervalos cualitativos:
| Puntuación CVSS | Nivel de gravedad |
|---|---|
| 0,0 | Ninguno |
| 0,1–3,9 | Bajo |
| 4,0–6,9 | Medio |
| 7,0–8,9 | Alto |
| 9,0–10,0 | Crítico |
Una puntuación de 9,8 indica que la vulnerabilidad tiene una gravedad crítica, no que exista un 98 % de probabilidad de ataque. Tampoco indica cuánto tiempo falta para una intrusión ni cuándo se explotará con certeza el fallo.
La escala tampoco debe interpretarse como un simple multiplicador de pérdidas: una vulnerabilidad con una puntuación de 8,0 no tiene por qué causar el doble de daños que otra con una puntuación de 4,0. La cifra se obtiene mediante las reglas de cálculo del estándar; no es una valoración de las consecuencias para el negocio.
La versión, el vector y el tipo de evaluación importan
Conviene buscar, junto a la puntuación, el número de versión de CVSS y el vector, es decir, la representación textual de los valores de cada métrica. Por ejemplo, el prefijo CVSS:3.1/ indica la versión del estándar, mientras que el fragmento AV:N de ese vector indica que el ataque puede realizarse a través de la red. El vector completo permite comprobar cómo se ha obtenido la cifra final.
La evaluación base describe las características fundamentales de la vulnerabilidad. No debe darse por hecho que tiene en cuenta la configuración de la infraestructura propia o la información más reciente sobre ataques. El alcance de la puntuación depende de los grupos de métricas utilizados:
- CVSS v3.1 distingue entre métricas base, temporales y de entorno. Las métricas temporales tienen en cuenta, entre otras cosas, la madurez de los métodos disponibles para explotar el fallo y la disponibilidad de una solución.
- CVSS v4.0 distingue entre métricas base, de amenaza, de entorno y suplementarias. Las métricas de amenaza se refieren a la madurez de la explotación del fallo, mientras que las de entorno permiten tener en cuenta las condiciones de una organización concreta. Las métricas suplementarias aportan contexto adicional, pero no modifican la puntuación.
No deben compararse puntuaciones de distintas versiones del estándar sin comprobar los supuestos en los que se basan. Las diferencias entre la evaluación del fabricante y la de una base de datos de vulnerabilidades también pueden deberse a distintas interpretaciones de las condiciones del ataque. En ese caso, conviene comparar los vectores y sus justificaciones, no solo las cifras.
¿Cómo utilizar CVSS para priorizar las correcciones?
Imagina dos vulnerabilidades. La primera tiene una puntuación de 9,8 y afecta a un componente de un entorno de pruebas aislado. La segunda ha recibido un 8,1, pero se encuentra en un sistema de atención a clientes accesible públicamente, y hay avisos fiables que confirman que se está explotando activamente.
La segunda vulnerabilidad puede requerir una respuesta más urgente pese a su menor puntuación. Esto no cuestiona CVSS: solo demuestra que la evaluación técnica es uno de los elementos de la decisión. Tampoco debe suponerse automáticamente que un entorno aislado es seguro: hay que comprobar las vías de acceso reales.
Al evaluar un aviso concreto, sigue este breve procedimiento:
- Confirma la vulnerabilidad: comprueba el producto, la versión, la configuración y las condiciones descritas en el aviso del fabricante.
- Verifica la evaluación: consulta la versión de CVSS, el vector y si la puntuación es base o incluye métricas adicionales.
- Evalúa la exposición: determina si se puede acceder a la función vulnerable desde internet, desde la red interna o únicamente de forma local.
- Comprueba el contexto de la amenaza: busca confirmaciones de ataques activos e información sobre los métodos disponibles para explotar el fallo.
- Elige una medida: planifica la actualización y, si no es posible realizarla de inmediato, considera las restricciones de acceso o la desactivación de la función vulnerable que recomiende el fabricante.
Confirma la evaluación actual y las recomendaciones de corrección en el aviso oficial del fabricante, y consulta las definiciones de las métricas en la documentación de FIRST. Cuando recibas el próximo aviso, anota junto a la puntuación CVSS una frase que explique su prioridad en tu entorno; por ejemplo: «Sistema público con datos de clientes, ataques confirmados, actualización urgente».
Consulta también: ¿Qué es KSEF?
Lee también
