Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

Stop creation of CVSS v4 by yourself

Đang mở
#5,058 0 bình luận 1 reaction 0 người được giao Xem trên GitHub

Chưa có ai nhận issue này.

Đánh giá

Độ khó
5/5
Thời gian dự kiến
Hơn một tuần
Mức phù hợp với người mới
20/100
Loại issue
Lỗi
Độ rõ ràng
Cần làm rõ
Mức độ hoạt động
Đình trệ
Lĩnh vực
security

Hướng nghiên cứu

Bắt đầu bằng việc xem lại cuộc thảo luận ban đầu trong advisory-database#5032 và các ví dụ CVE được liệt kê, sau đó truy vết nơi các giá trị CVSS v4 và mức độ nghiêm trọng được tạo ra. So sánh các giá trị được tạo với dữ liệu CVSS ban đầu và hành vi đã được ghi lại của advisory. Phần hoàn tất cần ngăn các score được tính toán và các giá trị mức độ nghiêm trọng không chính xác, đồng thời quy trình policy và tính toán phải được ghi lại.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

You seem to to create CVSS v4 scores for some advisories as I found out in https://github.com/github/advisory-database/pull/5032.
I condensed the original discussion into this issue.

There are some problem with that, here is a quick recap:

  • This is only done for certain CVEs, not all
  • The process how these CVSS v4 values are created is not transparent
    • There is no (public) documentation that this is done, how this is done and why it is done
    • Likely no communication with CVE creators / CVSSv4 values do not match CVE descriptions (usually only contains CVSS v3 score explanation)
  • Created CVSS v4 are not marked as "computed from CVSSv3 by GitHub" or something similar anywhere
  • Original CVSS score is not used for computing the severity

Please have a look at the original discussion for more details.

Anyway this process seems to result in incorrect scores (some values do not match at all) and incorrect severity values, thus also resulting in False Postives and Negatives in downstream scanners that utilize the database with severity filters.

Spontaneously found examples:

CVE CVSS v3 (original) CVSS v4 created by GitHub (used in severity) Note
CVE-2024-47535 5.5 moderate 7.0 High See https://github.com/github/advisory-database/pull/5032
CVE-2024-53848 7.1 High 6.1 Moderate Vulnerable System Impact Metrics seem to be missing
CVE-2024-52806 8.3 High 6.9 Medium Vulnerable System Impact Metrics seem to be missing
CVE-2024-51132 9.8 Critical 8.8 High Subsequent System Impact Metrics seem to be missing
CVE-2024-43499 7.5 High 0.0 Low CVSSv3 is not present in database but was declared in CVE? Not sure what's going on here...
CVE-2024-50379 9.8 Critical 7.2 High Subsequent System Impact Metrics seem to be missing

The overall current situation erodes (my) trust in this - security critical - system as distinguishing between correct and incorrect scores is no longer easily possible.

Further references:

Ngôn ngữ chính
Không có dữ liệu ngôn ngữ
Star
2.5k
Fork
772
Merge trung bình
4 ngày 17 giờ
Pull request đã merge (30 ngày)
75

Hướng dẫn đóng góp

Mở hướng dẫn đóng góp

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của github/advisory-database

Tất cả issue của github/advisory-database

Issue tương tự

Thêm issue về Security

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.