CVSS4与CVSS3的不同之二

在文章CVSS4与CVSS3的不同-CSDN博客中描述了CVSS3的缺点，以及CVSS4相对CVSS3做了哪些改进和带来了哪些优点。 但是具体CVSS4针对CVSS3做了哪些改动，还没有详细列举出来。 本文主要是针对CVSS4和CVSS的打分的大项和小项进行逐一对比，列出来具体增加和删除了哪些项目。

表格中颜色的说明：

红色：新增加的项目

黄色：修改的项目

蓝色：删除的项目

白色：没有更改的项目

分类项	小分类	CSS3	CVSS4	描述
Base Metrics
	User Interaction (UI)	None Required	None Active Passive	细分为Active和Passive，可以提高打分的准确性。
	Attack Requirement	NA	None/Present	新增加的分类，主要是描述攻击之前环境是否需要某种方式的配置和部署。 有些CVE是依赖环境的配置项，如果没有配置，就不会对环境造成威胁。
	Scope	Unchanged/Changed	N/A	此项删除了。 关于可能影响的Scope可以参考后面的Vulnerable System和Subsequent System。
	Confidentiality Impact (C)	Confidentiality Impact (C)	Vulnerable System Confidentiality (VC)
			Subsequent System Confidentiality(SC)
	Integrity Impact (I)	Integrity Impact (I)	Vulnerable System Integrity (VI)
			Subsequent System Integrity(SI)
	Availability Impact (A)	Availability Impact (A)	Vulnerable System  Availability(VA)
			Subsequent System Availability (SA)
Temporal Score Metrics 改为 Threat Metrics
	Exploit Code Maturity (E)	Unproven that exploit exists Proof of concept code Functional exploit exists High	Attack POC Unreported	简化了选线，更加易懂和操作。
	Remediation Level (RL)			此项删除了。
	Report Confidence (RC)			此项删除了。
Environmental Score Metrics 改为 Environmental (Modified Base Metrics)
	User Interaction (MUI)	None Required	None Active Passive
Impact Metrics 改为 Vulnerable System Impact Metrics
	Confidentiality	High/Medium/Low	High/Medium/Low
	Integrity	High/Medium/Low	High/Medium/Low
	Availability	High/Medium/Low	High/Medium/Low
Impact Subscore Modifiers 改为Subsequent System Impact Metrics
	Confidentiality	High/Medium/Low	High/Medium/Low
	Integrity	High/Medium/Low	Saftey/High/Medium/Low	增加了Saftey选线
	Availability	High/Medium/Low	Saftey/High/Medium/Low
Environmental (Security Requirements)
	Confidentiality Requirements	NA	High/Medium/Low
	Integrity Requirements	NA	High/Medium/Low
	Availability Requirements	NA	High/Medium/Low
Supplemental Metrics
	Safety (S)	NA	Negligible/Present	攻击是否会影响组织的安全？
	Automatable (AU)	NA	No/Yes	攻击者是否可以自动化攻击？
	Recovery (R)	NA	Automatic/User/Irrcoverable	系统或者组件是否可以在攻击者攻击之后自动恢复？
	Value Density (V)	NA	Diffuse/Concentrated	攻击者一次攻击可以控制哪些资源？
	Vulnerability Response Effort (RE)	NA	Low/Medium/High	需要花费多少努力应对攻击？
	Provider Urgency (U)	NA	Clear/Green/Amber/Red	厂商如何评价此漏洞的级别？

使用了CVSS4之后，会导致一些漏洞的严重级别降低。 例如：User Interaction ， 从原来的Required改为Active和Passive，经过细化之后，CVSS3只要是需要用户参与不管主动和被动，都会统一，CVSS4经过细分之后，Passive的就会比Active的分数降低，也导致CVE的级别降低。

CVSS4另外一个重大的变化就是增加了环境的因素并且细分和补充选项，使CVSS考虑的更全面，适用的范围也进行了扩展，使用时也更加灵活，可以满足不同行业的需求。

NVD - CVSS v4 Calculator

NVD - CVSS v3 Calculator