Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

Stop creation of CVSS v4 by yourself

Aperta
#5,058 0 commenti 1 reazione 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
5/5
Tempo stimato
Più di una settimana
Idoneità per principianti
20/100
Tipo di issue
Bug
Chiarezza
Da chiarire
Stato di attività
Ferma
Ambito
security

Direzione di ricerca

Inizia esaminando la discussione originale in advisory-database#5032 e gli esempi di CVE elencati, quindi traccia il punto in cui vengono prodotti i valori CVSS v4 e la severità. Confronta i valori generati con i dati CVSS originali e il comportamento documentato dell’advisory. L’implementazione completata dovrebbe impedire punteggi calcolati e valori di severità errati, documentando il processo relativo alla policy e al calcolo.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

You seem to to create CVSS v4 scores for some advisories as I found out in https://github.com/github/advisory-database/pull/5032.
I condensed the original discussion into this issue.

There are some problem with that, here is a quick recap:

  • This is only done for certain CVEs, not all
  • The process how these CVSS v4 values are created is not transparent
    • There is no (public) documentation that this is done, how this is done and why it is done
    • Likely no communication with CVE creators / CVSSv4 values do not match CVE descriptions (usually only contains CVSS v3 score explanation)
  • Created CVSS v4 are not marked as "computed from CVSSv3 by GitHub" or something similar anywhere
  • Original CVSS score is not used for computing the severity

Please have a look at the original discussion for more details.

Anyway this process seems to result in incorrect scores (some values do not match at all) and incorrect severity values, thus also resulting in False Postives and Negatives in downstream scanners that utilize the database with severity filters.

Spontaneously found examples:

CVE CVSS v3 (original) CVSS v4 created by GitHub (used in severity) Note
CVE-2024-47535 5.5 moderate 7.0 High See https://github.com/github/advisory-database/pull/5032
CVE-2024-53848 7.1 High 6.1 Moderate Vulnerable System Impact Metrics seem to be missing
CVE-2024-52806 8.3 High 6.9 Medium Vulnerable System Impact Metrics seem to be missing
CVE-2024-51132 9.8 Critical 8.8 High Subsequent System Impact Metrics seem to be missing
CVE-2024-43499 7.5 High 0.0 Low CVSSv3 is not present in database but was declared in CVE? Not sure what's going on here...
CVE-2024-50379 9.8 Critical 7.2 High Subsequent System Impact Metrics seem to be missing

The overall current situation erodes (my) trust in this - security critical - system as distinguishing between correct and incorrect scores is no longer easily possible.

Further references:

Lingua principale
Nessun dato sulla lingua
Stelle
2.5k
Fork
772
Merge medio
3g 15h
PR unite (30g)
46

Guida per i contributori

Apri la guida per i contributori

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di github/advisory-database

Tutte le issue di github/advisory-database

Issue simili

Altre issue su Security

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.