공통 취약성 평가 시스템(CVSS, Common Vulnerability Scoring System)은 컴퓨터 시스템의 취약점 심각도를 평가하기 위한 프레임워크이다. 점수는 악용의 용이성과 영향력을 근사하는 소프트웨어 메트릭을 통해 계산된다. 점수는 0점(경미)에서 10점(심각)까지 범위가 나뉜다. 많은 이들이 심각도를 결정할 때 CVSS 기본 점수만을 사용하지만, 각각 조직 내 가용 완화 조치와 취약한 시스템의 수를 고려하기 위해 시간적 및 환경적 점수도 존재한다.
현재 CVSS 버전(CVSSv4.0)은 2023년 11월에 발표되었다.
CVSS는 패치 관리 우선순위를 정하는 방법으로 의도된 것은 아니나, 종종 그렇게 사용되곤 한다. 더 효과적인 접근 방식은 CVSS를 익스플로잇 예측 평가 시스템(EPSS)과 같은 예측 모델과 통합하여 실제 악용 가능성에 따라 대응 우선순위를 정하는 것이다.
역사
2003년/2004년 국가 기반시설 자문위원회(NIAC)의 연구가 2005년 2월 CVSS 버전 1(CVSSv1)의 출시로 이어졌으며, 이는 "소프트웨어 취약점에 대해 개방적이고 보편적인 표준 심각도 등급을 제공하도록 설계"되었다. 이 초기 초안은 외부 검토를 거치지 않았다. 2005년 4월, NIAC는 CVSS를 추가로 개발하기 위해 사고 대응 및 보안팀 포럼을 선정하였다.
CVSSv1을 사용하는 벤더들로부터 "초기 초안에 심각한 문제점"이 있다는 피드백을 받았다. CVSSv2 작업은 2005년 4월에 시작되어 최종 사양이 2007년 6월에 출시되었다.
추가적인 피드백으로 인해 2012년 CVSS 버전 3 작업이 시작되었으며, CVSSv3.0은 2015년 6월에 출시되었다.
용어
CVSS 평가는 다음을 측정한다:
취약점 고유의 품질에 대한 기본 메트릭,
취약점 수명 주기 동안 변화하는 특성에 대한 시간적 메트릭,
특정 구현 또는 환경에 의존하는 취약점에 대한 환경적 메트릭.
각 그룹에 대해 점수가 생성되며, 벡터 문자열은 모든 메트릭 값을 텍스트 블록으로 나타낸다.
버전 2
CVSSv2에 대한 완전한 문서는 FIRST에서 제공한다. 요약은 아래와 같다.
기본 메트릭
접근 벡터
접근 벡터(AV)는 취약점이 어떻게 악용될 수 있는지를 보여준다.
값
설명
점수
로컬 (L)
공격자는 취약한 시스템에 대한 물리적 접근 권한(예: 파이어와이어 공격)을 갖거나 로컬 계정(예: 권한 확대 공격)을 가지고 있어야 한다.
0.395
인접 네트워크 (A)
공격자는 취약한 시스템의 브로드캐스트 또는 충돌 도메인에 접근할 수 있어야 한다(예: ARP 스푸핑, 블루투스 공격).
0.646
네트워크 (N)
취약한 인터페이스는 OSI 네트워크 스택의 3계층 이상에서 작동한다. 이러한 유형의 취약점은 종종 원격 악용 가능하다고 설명된다(예: 네트워크 서비스의 원격 버퍼 오버플로).
1.0
접근 복잡성
접근 복잡성(AC) 메트릭은 발견된 취약점을 악용하기가 얼마나 쉽거나 어려운지를 설명한다.
값
설명
점수
높음 (H)
좁은 시간 창을 가진 경쟁 상태나, 지식 있는 사람들이라면 쉽게 알아챌 수 있는 사회공학 방법 요구와 같은 특수한 조건이 존재한다.
0.35
중간 (M)
공격의 기원에 대한 제한이나, 취약한 시스템이 비정상적이고 기본값이 아닌 설정으로 실행되어야 하는 요구사항 등 공격을 위한 추가 요구사항이 있다.
0.61
낮음 (L)
시스템이 다수의 사용자에게 공개되어 있거나 취약한 설정이 어디에나 있는 경우처럼, 취약점 악용을 위한 특별한 조건이 없다.
0.71
인증
인증(Au) 메트릭은 공격자가 이를 악용하기 위해 대상에게 인증해야 하는 횟수를 설명한다. 접근을 얻기 위한 네트워크 인증 등은 포함하지 않는다. 로컬에서 악용 가능한 취약점의 경우, 초기 접근 후 추가 인증이 필요한 경우에만 이 값을 '단일' 또는 '다중'으로 설정해야 한다.
값
설명
점수
다중 (M)
취약점을 악용하려면 공격자가 두 번 이상 인증해야 한다. 매번 동일한 자격 증명을 사용하더라도 마찬가지이다.
웹 서버 소프트웨어에 영향을 미치는 버퍼 오버플로 취약점으로 인해 원격 사용자가 시스템을 종료하는 능력을 포함하여 시스템에 대한 부분적인 제어 권한을 얻을 수 있는 경우:
메트릭
값
설명
공격 벡터
네트워크
취약점은 대상 시스템에 접근할 수 있는 모든 네트워크(일반적으로 인터넷 전체)에서 접근할 수 있다.
공격 복잡성
낮음
접근을 위한 특별한 요구사항이 없다.
인증
없음
취약점을 악용하기 위해 인증을 요구하지 않는다.
기밀성
부분적
공격자가 시스템의 일부 파일과 데이터를 읽을 수 있다.
무결성
부분적
공격자가 시스템의 일부 파일과 데이터를 변경할 수 있다.
가용성
완전한
공격자가 시스템을 종료함으로써 시스템과 웹 서비스를 사용할 수 없거나 응답하지 않게 만들 수 있다.
이 경우 악용 가능성 점수는 10점, 영향력 점수는 8.5점이 되어 기본 점수는 9.0점이 된다. 이 예제의 기본 점수에 대한 벡터는 AV:N/AC:L/Au:N/C:P/I:P/A:C.이다. 점수와 벡터는 일반적으로 수신자가 취약점을 완전히 이해하고 필요한 경우 스스로 점수를 계산할 수 있도록 함께 제공된다.
시간적 메트릭
시간적 메트릭의 값은 취약점의 수명 주기 동안, 즉 익스플로잇이 개발, 공개, 자동화되고 완화 및 수정 사항이 제공됨에 따라 변화한다.
이는 7.3의 시간적 점수와 시간적 벡터 E:P/RL:U/RC:UC(또는 전체 벡터 AV:N/AC:L/Au:N/C:P/I:P/A:C/E:P/RL:U/RC:UC)를 산출한다.
이후 벤더가 취약점을 확인하면 점수는 8.1로 상승하며, 시간적 벡터는 E:P/RL:U/RC:C가 된다.
벤더가 임시 수정을 제공하면 점수는 7.3(E:P/RL:T/RC:C)으로 다시 낮아지며, 공식 수정이 제공되면 7.0(E:P/RL:O/RC:C)으로 더 낮아진다. 영향을 받는 모든 시스템이 수정되거나 패치되었다고 확신할 수는 없기 때문에, 시간적 점수는 벤더의 조치에 따라 일정 수준 이하로 내려갈 수 없으며, 취약점에 대한 자동화된 악용 코드가 개발될 경우 상승할 수 있다.
환경적 메트릭
환경적 메트릭은 취약한 제품이나 소프트웨어가 배포되는 방식의 맥락에서 취약점의 심각성을 평가하기 위해 기본 점수와 현재의 시간적 점수를 사용한다. 이 측정치는 주로 영향을 받는 당사자들에 의해 주관적으로 계산된다.
부수적 피해 가능성
부수적 피해 가능성(CDP) 메트릭은 취약점이 악용될 경우 장비(및 인명)와 같은 물리적 자산에 대한 잠재적 손실이나 영향, 또는 영향을 받는 조직에 미치는 재정적 영향을 측정한다.
값
설명
점수
없음 (N)
자산, 수익 또는 생산성 손실 가능성이 없다.
0
낮음 (L)
자산에 대한 경미한 손상, 또는 미미한 수익이나 생산성 손실.
0.1
낮음-중간 (LM)
보통 수준의 손상이나 손실.
0.3
중간-높음 (MH)
상당한 손상이나 손실.
0.4
높음 (H)
파멸적인 손상이나 손실.
0.5
정의되지 않음 (ND)
이 점수를 무시하라는 신호이다.
0
대상 분포
대상 분포(TD) 메트릭은 환경 내에서 취약한 시스템의 비율을 측정한다.
값
설명
점수
없음 (N)
대상 시스템이 없거나 실험실 환경에만 존재한다.
0
낮음 (L)
위험에 처한 시스템이 1~25%.
0.25
중간 (M)
위험에 처한 시스템이 26~75%.
0.75
높음 (H)
위험에 처한 시스템이 76~100%.
1.0
정의되지 않음 (ND)
이 점수를 무시하라는 신호이다.
1.0
영향력 하위 점수 수정자
추가적인 3가지 메트릭은 기밀성(CR), 무결성(IR), 가용성(AR)에 대한 구체적인 보안 요구사항을 평가하여, 사용자 환경에 따라 환경적 점수를 미세 조정할 수 있도록 한다.
값
설명
점수
낮음 (L)
(기밀성/무결성/가용성)의 상실이 조직에 제한적인 영향만 미칠 가능성이 높다.
0.5
중간 (M)
(기밀성/무결성/가용성)의 상실이 조직에 심각한 영향을 미칠 가능성이 높다.
1.0
높음 (H)
(기밀성/무결성/가용성)의 상실이 조직에 파멸적인 영향을 미칠 가능성이 높다.
1.51
정의되지 않음 (ND)
이 점수를 무시하라는 신호이다.
1.0
계산
5가지 환경적 메트릭은 이전에 평가된 기본 및 시간적 메트릭과 함께 사용되어 환경적 점수를 계산하고 관련 환경 벡터를 생성한다.
앞서 언급한 취약한 웹 서버가 은행의 온라인 뱅킹 서비스를 제공하는 데 사용되고 벤더로부터 임시 수정 사항을 사용할 수 있는 경우, 환경적 점수는 다음과 같이 평가될 수 있다:
메트릭
값
설명
부수적 피해 가능성
중간-높음
이 값은 취약한 시스템이 악용될 경우 공격자가 어떤 정보에 접근할 수 있는지에 따라 달라진다. 여기서는 일부 개인 금융 정보가 노출된다고 가정하므로 은행의 평판에 상당한 영향이 있다.
대상 분포
높음
은행의 모든 웹 서버가 취약한 소프트웨어를 실행 중이다.
기밀성 요구사항
높음
고객은 자신의 금융 정보가 기밀로 유지되기를 기대한다.
무결성 요구사항
높음
금융 및 개인 정보는 승인 없이 변경되어서는 안 된다.
가용성 요구사항
낮음
온라인 뱅킹 서비스의 불통은 고객에게 불편을 줄 수는 있지만 파멸적인 상황은 아니다.
이는 8.2의 환경적 점수와 CDP:MH/TD:H/CR:H/IR:H/AR:L이라는 환경적 벡터를 산출한다. 이 점수는 7.0~10.0 범위 내에 있으므로 해당 은행 업무 맥락에서 치명적인 취약점으로 간주된다.
버전 2에 대한 비판
여러 벤더와 조직들이 CVSSv2에 대해 불만을 표명했다.
오픈 소스 취약점 데이터베이스를 관리하는 리스크 베이스트 시큐리티(Risk Based Security)와 오픈 시큐리티 파운데이션(Open Security Foundation)은 공동으로 FIRST에 CVSSv2의 단점과 실패에 관한 공개 서한을 발행했다. 저자들은 여러 메트릭에서 세분성이 부족하여, 서로 다른 유형과 위험 프로필의 취약점을 구분하지 못하는 CVSS 벡터와 점수가 생성된다고 지적했다. 또한 CVSS 평가 시스템은 취약점의 정확한 영향에 대해 너무 많은 지식을 요구한다는 지적도 있었다.
오라클은 공식 CVSS 사양에서 '부분적'과 '완전한' 사이의 설명 간극을 메우기 위해 기밀성, 무결성, 가용성에 대해 '부분적+'라는 새로운 메트릭 값을 도입했다.
버전 3
이러한 비판 중 일부를 해결하기 위해 2012년부터 CVSS 버전 3 개발이 시작되었다. CVSSv3.0은 2015년 6월 사양 문서, 사용 설명서, 예제 문서와 함께 출시되었다.
여러 메트릭이 변경, 추가 및 제거되었다. 수치 공식은 기존 0~10점의 평가 범위를 유지하면서 새로운 메트릭을 통합하도록 업데이트되었다. 없음(0), 낮음(0.1-3.9), 중간(4.0-6.9), 높음(7.0-8.9), 치명적(9.0-10.0)이라는 정성적 심각도 등급 척도가 정의되었는데, 이는 CVSSv2 당시 표준의 일부가 아니었으나 NVD가 정의했던 범주와 유사하다.
버전 2에서의 변경 사항
기본 메트릭
기본 벡터에 새로운 메트릭인 사용자 상호작용(UI)과 필요한 권한(PR)이 추가되어, 사용자 상호작용이나 사용자 또는 관리자 권한이 필요한 취약점을 구분하는 데 도움을 준다. 이전에는 이러한 개념들이 CVSSv2의 접근 벡터 메트릭의 일부였다. UI는 '없음' 또는 '필요' 값을 가질 수 있으며, 사용자 로그인이 필요하지 않은 공격이 더 심각한 것으로 간주된다. PR은 '없음', '낮음', '높음' 값을 가질 수 있으며, 더 적은 권한이 필요한 공격이 더 심각하다.
기본 벡터에는 새로운 범위(S) 메트릭이 도입되었는데, 이는 어떤 취약점이 악용되어 시스템이나 네트워크의 다른 부분을 공격하는 데 사용될 수 있는지를 명확히 하기 위해 설계되었다. 이러한 새로운 메트릭을 통해 기본 벡터는 평가 중인 취약점 유형을 더 명확하게 표현할 수 있다.
기밀성, 무결성, 가용성(C, I, A) 메트릭은 CVSSv2의 없음, 부분적, 완전한 대신 없음, 낮음, 높음으로 점수가 구성되도록 업데이트되었다. 이를 통해 CIA 메트릭에 미치는 취약점의 영향을 결정하는 데 더 많은 유연성이 제공된다.
접근 복잡성은 접근 권한이 별도의 메트릭으로 이동했음을 명확히 하기 위해 공격 복잡성(AC)으로 이름이 변경되었다. 이제 이 메트릭은 해당 취약점의 익스플로잇이 얼마나 반복 가능한지를 설명한다. 만약 공격자가 완벽한 타이밍이나 (별도의 메트릭인 사용자 상호작용을 제외한) 기타 상황을 요구하여 향후 시도에서 쉽게 재현되지 않을 경우 AC는 '높음'이 된다.
공격 벡터(AV)에는 디바이스나 시스템에 대한 물리적 접근이 필요한 취약점을 설명하기 위해 '물리적'(P)이라는 새로운 메트릭 값이 포함되었다.
시간적 메트릭
시간적 메트릭은 CVSSv2와 사실상 동일하다.
환경적 메트릭
CVSSv2의 환경적 메트릭은 완전히 제거되었으며, 기본적으로 수정된 벡터라고 불리는 두 번째 기본 점수로 대체되었다. 수정된 기본은 전 세계적인 관점과 비교하여 조직이나 회사 내의 차이점을 반영하기 위한 것이다. 특정 환경에 대한 기밀성, 무결성, 가용성의 중요도를 포착하기 위한 새로운 메트릭이 추가되었다.
버전 3에 대한 비판
2015년 9월 블로그 게시물에서 CERT 코디네이션 센터는 사물인터넷과 같은 신흥 기술 시스템의 취약점을 평가하는 데 있어 CVSSv2와 CVSSv3.0의 한계를 논의했다.
버전 3.1
CVSS에 대한 마이너 업데이트가 2019년 6월 17일에 출시되었다. CVSSv3.1의 목표는 새로운 메트릭이나 메트릭 값을 도입하지 않고 기존 CVSSv3.0 표준을 명확히 하고 개선하여, 평가 제공자와 평가 소비자 모두가 새 표준을 마찰 없이 채택할 수 있도록 하는 것이었다. CVSS 표준을 개선할 때 사용성이 주요 고려 사항이었다. CVSSv3.1에서 이루어진 여러 변경 사항은 CVSSv3.0에서 도입된 개념의 명확성을 향상하여 전체적인 표준 사용 편의성을 높이기 위함이다.
FIRST는 업계 전문가들로부터 의견을 수렴하여 지난 15년 이상 동안 개발된 취약점, 제품 및 플랫폼에 점점 더 잘 적용될 수 있도록 CVSS를 강화하고 개선해 왔다. CVSS의 주요 목표는 많은 다양한 이해관계자 전반에 걸쳐 취약점의 심각도를 평가하기 위한 결정론적이고 반복 가능한 방법을 제공하는 것이며, CVSS 소비자가 이 점수를 특정 환경 및 위험 허용 범위에 따른 위험, 대응 및 완화 조치에 대한 더 큰 의사결정 행렬의 입력값으로 사용할 수 있도록 하는 것이다.
CVSSv3.1 사양에 대한 업데이트에는 공격 벡터, 필요한 권한, 범위 및 보안 요구사항과 같은 기존 기본 메트릭의 정의와 설명에 대한 명확화가 포함된다. 또한 CVSS 확장 프레임워크라고 하는 CVSS 확장 표준 방법이 정의되어, 평가 제공자가 공식 기본, 시간적 및 환경적 메트릭을 유지하면서 추가 메트릭과 메트릭 그룹을 포함할 수 있게 되었다. 이러한 추가 메트릭을 통해 개인정보 보호, 안전, 자동차, 의료 등 산업 분야는 핵심 CVSS 표준 외의 요소를 평가할 수 있다. 마지막으로, CVSS 용어집은 CVSSv3.1 문서 전체에서 사용되는 모든 용어를 포함하도록 확장되고 개선되었다.
버전 4.0
버전 4.0은 2023년 11월 공식적으로 출시되었으며, FIRST.org에서 확인할 수 있다. 여러 명확화 중에서 가장 주목할 만한 변화는 대상 사이트에서 취약점을 악용하기 위해 어떤 조건이 필요한지에 대한 평가로 공격 복잡성 메트릭을 보완하는 새로운 기본 메트릭인 '공격 요구사항'이다. 또한 영향력 메트릭은 취약한 시스템 자체에 미치는 영향과 후속 시스템에 미치는 영향으로 나뉜다(이는 이전 버전의 범위 메트릭을 대체함).
기본 메트릭은 다음과 같다.
공격 벡터 (AV): 어떤 (물리적) 경로를 통해 취약점을 악용할 수 있는가? [N] 네트워크, [A] 인접(즉, 직접 연결로 제한), [I] 상호작용(예: SSH 또는 키보드를 통해), 또는 [P] 물리적(예: 하드웨어 조작 또는 관찰).
공격 복잡성 (AC): 공격자가 우회해야 하는 추가 대책이 있는가, 그리고 그 작업이 얼마나 어려운가? [L] 낮음, 또는 [H] 높음(예: 데이터 실행 방지).
공격 요구사항 (AT): 공격자가 영향력을 행사할 수 없는 공격에 필요한 조건이 있는가? [N] 없음, 또는 [P] 존재(예: 경쟁 상태를 이겨야 함, 또는 시스템이 특정 상태에 있어야 함).
필요한 권한 (PR): 대상 시스템에 대한 권한이 필요한가? [N] 없음(인증되지 않음), [L] 낮음(일반 사용자), 또는 [H] 높음(관리자 접근).
사용자 상호작용 (UI): 시스템의 (정당한) 사용자가 공격을 가능하게 하기 위해 무언가를 해야 하는가? [N] 없음, [P] 수동적(예: 실수로 악성 웹사이트 방문), 또는 [A] 능동적(예: 악성 오피스 매크로 실행).
취약한 시스템 기밀성 영향 (VC):[N] 없음, [L] 낮음, 또는 [H] 높음.
취약한 시스템 무결성 영향 (VI):[N] 없음, [L] 낮음, 또는 [H] 높음.
취약한 시스템 가용성 영향 (VA):[N] 없음, [L] 낮음, 또는 [H] 높음.
후속 시스템 기밀성 영향 (SC):[N] 없음, [L] 낮음, 또는 [H] 높음.
후속 시스템 무결성 영향 (SI):[N] 없음, [L] 낮음, 또는 [H] 높음.
후속 시스템 가용성 영향 (SA):[N] 없음, [L] 낮음, 또는 [H] 높음.
이러한 기본 메트릭 외에도 익스플로잇의 공개 가용성, 환경별 스레드 모델링, 시스템 복구 등에 관한 선택적 메트릭이 있다.
2026년 1월, 표준화 기구는 배포 환경과 위협 활동을 더 정확하게 반영하는 점수를 생성하기 위해 위협 및 환경 메트릭의 사용을 자세히 설명하는 새로운 소비자 구현 가이드를 출시했다. 이 가이드는 또한 이러한 추가 메트릭 그룹이 어떻게 실제 triage 및 리소스 할당 개선을 위해 점수를 향상하는지 설명하는 성숙도 모델을 도입한다.
예시
설명을 위해 온라인 웹 샵에 SQL 삽입 취약점이 있다고 가정하자. 온라인 샵 소프트웨어의 데이터베이스 사용자는 데이터베이스에 대한 읽기 권한만 가지고 있다. 또한, 이 삽입은 등록된 고객에게만 보이는 샵의 뷰에 존재한다. CVSS 4.0 기본 벡터는 다음과 같다.
AV:N 취약점이 웹을 통해 트리거될 수 있음
AC:L SQL 삽입은 (온라인 샵에 대책이 없다고 가정할 때) 스크립트를 통해 안정적으로 악용될 수 있음
AT:N 공격이 특정 시스템 조건에 의존하지 않음
PR:L 공격자가 일반 사용자로 인증되어야 하지만, 관리자 권한은 필요하지 않음
UI:N 다른 사용자가 관여하지 않음
VC:H 공격자가 데이터베이스의 모든 테이블을 읽을 수 있음
VI:N 공격자가 쓰기 권한을 가지지 않음
VA:L 공격자가 데이터베이스에서 긴 쿼리를 실행하여 일시적으로 데이터베이스를 느리게 하거나 응답하지 않게 만들 수 있음
SC:N (후속 시스템에 대한 추가 정보 없음)
SI:N (후속 시스템에 대한 추가 정보 없음)
SA:L 데이터베이스 응답 없음으로 인해 주문 관리 및 물류와 관련된 다른 시스템에 영향을 줄 것으로 예상됨
결과적으로 벡터는 AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:L/SC:N/SI:N/SA:L이 된다.
채택
CVSS 버전은 다음을 포함한 광범위한 조직과 기업에서 취약점의 심각도를 정량화하는 주요 방법으로 채택되었다:
12Johnson, Pontus; Lagerstrom, Robert; Ekstedt, Mathias; Franke, Ulrik (2018년 11월 1일). “Can the Common Vulnerability Scoring System be Trusted? A Bayesian Analysis”. 《IEEE Transactions on Dependable and Secure Computing》15 (6): 1002–1015. Bibcode:2018ITDSC..15.1002J. doi:10.1109/TDSC.2016.2644614. ISSN1545-5971. S2CID53287880.
