O CVSS 4.0 inclui contexto?

Sim. O CVSS 4.0 inclui explicitamente o contexto. As métricas de ameaças descrevem a maturidade atual do abuso. As Métricas Ambientais processam o ambiente de implantação concreto, incluindo medidas de segurança existentes, acessibilidade real, a importância necessária da confidencialidade, integridade e disponibilidade, alterações nas características técnicas e possíveis consequências para a segurança humana.

As métricas suplementares acrescentam mais contexto, como segurança, recuperação, automação e esforço de recuperação. Eles não alteram o número CVSS, mas de acordo com Perguntas frequentes sobre CVSS 4.0 da FIRST podem influenciar a prioridade local.

Um CVSS-B publicado publicamente geralmente contém apenas as métricas básicas. Isso não é o mesmo que dizer que o CVSS não tem contexto: o cliente preenche as Métricas de Ameaças e Ambientais para sua própria situação e, portanto, recebe um CVSS-BTE. A FIRST recomenda este enriquecimento para um resultado mais significativo em seu próprio ambiente.