Stop creation of CVSS v4 by yourself
まだ誰も着手していません。
評価
- 難易度
- 5/5
- 見積もり時間
- 1週間以上
- 初心者へのやさしさ
- 20/100
- issue の種類
- バグ
- 明瞭さ
- 説明が足りない
- 活発さ
- 停滞
- 領域
- security
調査の方向性
まず advisory-database#5032 の元の議論と記載されている CVE の例を確認し、次に CVSS v4 の値と severity がどこで生成されているかを追跡します。生成された値を元の CVSS データおよび文書化された advisory の動作と比較します。完了時には、誤った計算済みスコアと severity 値が発生しないようにし、ポリシーと計算のプロセスを文書化します。
索引モデルが issue の本文から書いたものです。
説明
You seem to to create CVSS v4 scores for some advisories as I found out in https://github.com/github/advisory-database/pull/5032.
I condensed the original discussion into this issue.
There are some problem with that, here is a quick recap:
- This is only done for certain CVEs, not all
- The process how these CVSS v4 values are created is not transparent
- There is no (public) documentation that this is done, how this is done and why it is done
- Likely no communication with CVE creators / CVSSv4 values do not match CVE descriptions (usually only contains CVSS v3 score explanation)
- Created CVSS v4 are not marked as "computed from CVSSv3 by GitHub" or something similar anywhere
- Original CVSS score is not used for computing the
severity
Please have a look at the original discussion for more details.
Anyway this process seems to result in incorrect scores (some values do not match at all) and incorrect severity values, thus also resulting in False Postives and Negatives in downstream scanners that utilize the database with severity filters.
Spontaneously found examples:
| CVE | CVSS v3 (original) | CVSS v4 created by GitHub (used in severity) |
Note |
|---|---|---|---|
| 5.5 moderate | 7.0 High | See https://github.com/github/advisory-database/pull/5032 | |
| CVE-2024-53848 | 7.1 High | 6.1 Moderate | Vulnerable System Impact Metrics seem to be missing |
| CVE-2024-52806 | 8.3 High | 6.9 Medium | Vulnerable System Impact Metrics seem to be missing |
| CVE-2024-51132 | 9.8 Critical | 8.8 High | Subsequent System Impact Metrics seem to be missing |
| CVE-2024-43499 | 7.5 High | 0.0 Low | CVSSv3 is not present in database but was declared in CVE? Not sure what's going on here... |
| CVE-2024-50379 | 9.8 Critical | 7.2 High | Subsequent System Impact Metrics seem to be missing |
The overall current situation erodes (my) trust in this - security critical - system as distinguishing between correct and incorrect scores is no longer easily possible.
Further references:
- 主要言語
- 言語のデータがありません
- スター
- 2.5k
- フォーク
- 772
- 平均マージ
- 3日 15時間
- マージ済み PR（30日）
- 46
コントリビューションガイド
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
github/advisory-database のほかの issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
github/advisory-database#9255 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
github/advisory-database#9164 · リアクション 1 件 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
github/advisory-database#8994 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
github/advisory-database#8898 · コメント 4 件 · リアクション 1 件 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
github/advisory-database#8841 ·
github/advisory-database の issue をすべて見る
似ている issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
-
oblt-aw/detector/security
難易度 2/5 1〜3時間 初心者へのやさしさ 70/100
-
setup tools wizard offers no GitHub auth path, and setup summary doesn't recognize `gh` CLI auth オープンarea/auth comp/cli P3 tool/skills type/bug
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
NousResearch/hermes-agent#121131 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
trailofbits/skills#330 ·
-
accepted
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100