Почему CVSS недостаточно: приоритет уязвимостей по реальной эксплуатации
Организациям рекомендуется определять приоритет уязвимостей на основе подтвержденного использования злоумышленниками, а не считать все CVE с критическим и высоким уровнем серьезности равноопасными.
В отчете проанализированы данные примерно о 389 000 CVE в NVD, 1 699 уязвимостях из каталога CISA Known Exploited Vulnerabilities (KEV) и 358 записях KEV, связанных с известными кампаниями программ-вымогателей.
Связь уязвимостей с программами-вымогателями
Из 358 уязвимостей, связанных с программами-вымогателями, 106 сопоставлены с конкретными группами на основе данных eCrime.ch и Ransomware.Live. Для остальных подтверждено использование в качестве векторов атак программ-вымогателей, однако конкретная группировка не установлена.
Уязвимости KEV, связанные с программами-вымогателями и затрагивающие развернутые продукты, доступные злоумышленникам, рекомендуется направлять в процесс экстренного устранения. Системы, которые невозможно немедленно обновить, следует изолировать или защищать с помощью компенсирующих мер.
Следующим приоритетом должны стать другие записи KEV и уязвимости с высокими показателями EPSS. При их оценке организациям рекомендуется учитывать:
- фактическую подверженность организации;
- масштаб развертывания;
- доступность продукта из интернета;
- чувствительность обрабатываемых данных;
- потенциальный ущерб для бизнеса.
CVSS и EPSS не отражают операционный риск полностью
В отчете подчеркивается, что одних только CVSS и EPSS недостаточно для надежной оценки операционного риска.
CVE-2024-3094, бэкдор в XZ Utils, имела оценку CVSS 10,0 и высокий показатель EPSS. При этом уязвимость была ограниченно представлена в продуктивной среде, не имела обозначения KEV и не была связана с программами-вымогателями.
Другой пример, CVE-2025-29824, уязвимость повышения привилегий в Windows Common Log File System. Она имела оценку CVSS 7,8 и показатель EPSS 0,14, но была добавлена в KEV с флагом программы-вымогателя и связана с группами PLAY и Defray777.
CVE-2021-27101, которую CL0P эксплуатировала против Accellion File Transfer Appliances, показывает, что историческая эксплуатация может сохранять актуальность даже при низком текущем показателе EPSS.
Историческая эксплуатация сохраняет значение
Среди 106 CVE, связанных с программами-вымогателями, медианное значение EPSS составило 0,98. При этом у восьми уязвимостей EPSS был ниже 0,10, несмотря на подтвержденное использование группами программ-вымогателей.
В отчете рекомендуется определять срочность устранения с учетом совокупности факторов:
- статуса KEV;
- атрибуции к программам-вымогателям;
- показателя EPSS;
- истории эксплуатации;
- подверженности активов;
- влияния на бизнес.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
