Glosario de seguridad

¿Qué es CVSS?

CVSS (Common Vulnerability Scoring System), mantenido por FIRST, es un estándar abierto para expresar la severidad técnica de una vulnerabilidad con un número de 0,0 a 10,0. Ofrece a todos una forma común y repetible de hablar de la gravedad de un hallazgo, de modo que «severidad alta» signifique más o menos lo mismo en distintos informes y herramientas.

Cómo se construye la puntuación

Las métricas de puntuación base más comunes describen cómo se explota una vulnerabilidad y qué afecta: el vector de ataque (red, adyacente, local, físico), la complejidad del ataque, los privilegios requeridos, la interacción del usuario, el alcance y el impacto en la confidencialidad, la integridad y la disponibilidad. Estas se combinan en la puntuación base de 0 a 10. Vexaro puntúa los hallazgos con CVSS 3.1; FIRST también publica CVSS v4.0 (lanzado en 2023), así que un informe debería indicar qué versión aplica.

Las bandas de severidad

CVSS 3.1 asigna el número a franjas cualitativas: None (0,0), Low (0,1-3,9), Medium (4,0-6,9), High (7,0-8,9) y Critical (9,0-10,0). Estas franjas son lo que casi todo el mundo quiere decir cuando llama a un hallazgo «crítico» o «medio», y permiten ordenar un informe por prioridad de un vistazo.

Base, Temporal y Environmental

La puntuación base recoge la severidad intrínseca, que no cambia con el tiempo. Dos grupos de métricas opcionales la afinan: Temporal refleja factores como la madurez del exploit, y Environmental la ajusta a tu entorno concreto. Por ejemplo, un problema en un sistema solo interno puede importar menos que el mismo problema expuesto a Internet. Un buen informe no se queda en el número base: traduce la severidad en riesgo de negocio según el contexto.

Qué es CVSS y qué no es

CVSS mide la severidad de una vulnerabilidad de software. Por sí solo no es una puntuación de riesgo, y no está pensado para hallazgos puramente de configuración o de postura de cumplimiento, que se califican mejor según la severidad propia de un benchmark. Toma la puntuación base como un punto de partida coherente y luego sopesa la explotabilidad y el impacto en tu contexto. Así es exactamente como la usa un buen informe de pentest.

Preguntas frecuentes

CVSS (Common Vulnerability Scoring System) es un estándar abierto mantenido por FIRST para expresar la gravedad técnica de una vulnerabilidad con un número de 0,0 a 10,0, de modo que «gravedad alta» signifique más o menos lo mismo en distintos informes y herramientas. Vexaro puntúa los hallazgos con CVSS 3.1; FIRST también publica la v4.0, así que un informe debe indicar qué versión aplica.

CVSS 3.1 asigna la puntuación base a franjas cualitativas: None (0,0), Low (0,1-3,9), Medium (4,0-6,9), High (7,0-8,9) y Critical (9,0-10,0). Son esas franjas las que casi todo el mundo tiene en mente al llamar a un hallazgo «crítico» o «medio», y permiten ordenar un informe por prioridad de un vistazo.

No. CVSS mide la gravedad técnica de una vulnerabilidad, no el riesgo por sí solo, y no está pensado para hallazgos puramente de configuración o de postura de cumplimiento. La puntuación base es un punto de partida coherente; las métricas Temporal y Environmental (por ejemplo, si un sistema solo es accesible internamente o está expuesto a Internet) ayudan a traducirla en riesgo de negocio según el contexto.

Habla con un profesional de verdad.

¿Tienes una pregunta que estas páginas no respondieron? Cuéntanos qué intentas proteger y te orientaremos hacia el proyecto adecuado. La primera consulta es gratuita.