CVSS ordering validation
还没有人认领这个 Issue。
评估
- 难度
- 4/5
- 预计耗时
- 3-5 天
- 新手友好度
- 35/100
- Issue 类型
- 缺陷
- 描述清晰度
- 需要澄清
- 活跃度
- 冷清
- 领域
- security
调研方向
检查所引用的 GHSA-mc24-7m59-4q5p advisory，并将其 CVSS 向量的顺序和分数与所述的 CVSS 3.1 预期进行比较。明确现有 advisory 和新创建 advisory 的验证范围；完成的标准是能够检测出符合要求的向量，并且显示的分数使用预期的 base-score 计算方式。
由索引模型根据 Issue 内容生成。
描述
Hello there,
It seems that there are several instances (have now been corrected) where CVSS vector string does not follow the compliant ordering. While base score is looking correct, this might be a compliant mismatch downstream.
Another thing is that it seems GHSA calculates Environmental Score instead of base score. For example, https://github.com/rancher/rancher/security/advisories/GHSA-mc24-7m59-4q5p. This GHSA has the vector string as CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H which should be resolved into 8.3 CVSS instead of considering Environmental Score 8.4
I am wondering if Github Sec team has putting some considerations to validate the vector string for all existing and upcoming GHSA being created?
Thank you for your work and your time!
Chi Tran
Amazon Inspector
- 主要语言
- 没有语言数据
- 星标
- 2.5k
- 派生
- 772
- 平均合并
- 3 天 15 小时
- 30 天内合并 PR
- 46
贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
github/advisory-database 的其他 Issue
-
难度 2/5 1-3 小时 新手友好度 68/100
github/advisory-database#9255 ·
-
难度 2/5 1-3 小时 新手友好度 72/100
github/advisory-database#9164 · 1 个 reaction ·
-
难度 2/5 1-3 小时 新手友好度 72/100
github/advisory-database#8994 ·
-
难度 2/5 1-3 小时 新手友好度 68/100
github/advisory-database#8898 · 4 条评论 · 1 个 reaction ·
-
难度 2/5 1-3 小时 新手友好度 72/100
github/advisory-database#8841 ·
查看 github/advisory-database 的全部 Issue
相似的 Issue
-
难度 2/5 1-3 小时 新手友好度 75/100
-
oblt-aw/detector/security
难度 2/5 1-3 小时 新手友好度 70/100
-
setup tools wizard offers no GitHub auth path, and setup summary doesn't recognize `gh` CLI auth 未关闭area/auth comp/cli P3 tool/skills type/bug
难度 2/5 1-3 小时 新手友好度 75/100
NousResearch/hermes-agent#121131 ·
-
难度 2/5 1-3 小时 新手友好度 75/100
trailofbits/skills#330 ·
-
accepted
难度 2/5 1-3 小时 新手友好度 75/100