> For the complete documentation index, see [llms.txt](https://docs.medcrypt.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.medcrypt.com/ko/helm/manage-vulnerabilities/identify-and-prioritize-exploitable-vulnerabilities/understand-issue-severity-level/understand-the-cvss-vulnerability-scoring-system.md).

# CVSS 취약점 점수 산정 시스템 이해

Helm은 다음을 반환합니다. [공통 취약점 점수 시스템](https://www.first.org/cvss/) (CVSS)은 심각, 높음, 중간, 낮음에 해당하는 수치 점수를 제공하여 현재 취약점 위험을 파악할 수 있도록 합니다. 구형 기기에는 CVSS v2 점수만 있고 최신 기기에는 v3 점수만 있을 수 있으므로 Helm은 CVSS v2와 v3 점수를 모두 제공하여 레거시 기기와 신형 기기 전반의 위험을 평가할 수 있도록 합니다.

이 점수에는 취약점의 악용 가능성을 평가하는 여러 요소가 반영됩니다.

## 기본 점수

CVSS v3 점수의 경우, 다음 계산기를 사용하여 특정 취약점의 CVSS 점수가 산출된 방식을 확인할 수 있습니다.

* [CVSS 3.1용 NIST 계산기](https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?version=3.1)
* [CVSS 3.0용 NIST 계산기](https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?version=3.0)
* [CVSS 2용 NIST 계산기](https://nvd.nist.gov/vuln-metrics/cvss/v2-calculator?calculator)

각 지표 분류 값을 마우스로 가리키면 어떤 값이 상황에 해당하는지 판단하는 방법에 관한 자세한 정보를 확인할 수 있습니다. 편의를 위해 지표와 값의 정의도 아래에 제공했습니다.

## CVSS 3.x 취약점 점수 다시 계산

특정 항목과 관련된 모든 취약점의 점수를 다시 계산하거나 [제품 버전](/ko/helm/manage-vulnerabilities/rescore-vulnerabilities-in-bulk-or-individually.md) 또는 [개별 취약점의 점수를 다시 계산할 수 있습니다.](/ko/helm/manage-vulnerabilities/rescore-vulnerabilities-in-bulk-or-individually.md).

### 기본 CVSS 점수

NVD의 모든 취약점에는 기본 CVSS 점수가 부여됩니다. 이 **기본 점수는 수정할 수 없지만, 해당 기기의 상황을 평가하여 시간적 점수와 환경적 점수는 수정할 수 있습니다. 이 두 섹션의 모든 지표는 기본적으로 정의되지 않음(X)으로 설정되어 있으며, 이 값은 CVSS 점수에 가장 큰 영향을 미칩니다.** 모든 정의는 first.org의

에서 가져왔습니다. [CVSS 3.1 계산기](https://www.first.org/cvss/calculator/3.1).

<details>

<summary>CVSS 3.1 벡터 문자열은 어떻게 읽나요?</summary>

CVSS 3.1에서 벡터 문자열의 각 섹션은 /로 구분되며, 기본 및 시간적 범주에 속하는 하위 범주 하나에 해당합니다. 따라서 다음과 같은 문자열은

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:L/E:X/RL:O/RC:X

공격 벡터가 네트워크, 공격 복잡도가 높음, 필요한 권한이 없음, 사용자 상호작용이 필요함, 범위가 변경되지 않음, 기밀성 영향이 낮음, 무결성 영향이 낮음, 가용성 영향이 낮음을 나타냅니다. 또한 악용 코드 성숙도가 정의되지 않음, 해결 수준이 공식 수정, 보고 신뢰도가 정의되지 않음을 나타냅니다.

</details>

#### 악용 가능성 지표

<details>

<summary>공격 벡터(AV)</summary>

이 지표는 취약점을 악용할 수 있는 맥락을 나타냅니다. 취약한 구성 요소를 악용하기 위해 공격자가 논리적·물리적으로 더 원격에 있을 수 있을수록 기본 점수가 높아집니다.

* **네트워크(AV:N):** 취약한 구성 요소가 네트워크 스택에 연결되어 있으며, 가능한 공격자의 범위는 아래 나열된 다른 옵션을 넘어 인터넷 전체까지 포함합니다. 이러한 취약점은 흔히 '원격 악용 가능'하다고 하며, 하나 이상의 네트워크 홉을 거친 프로토콜 수준에서 악용 가능한 공격으로 볼 수 있습니다(예: 하나 이상의 라우터를 통과하는 공격).
* **인접 네트워크(AV:A):** 취약한 구성 요소가 네트워크 스택에 연결되어 있지만, 프로토콜 수준에서 공격은 논리적으로 인접한 네트워크 토폴로지로 제한됩니다. 즉, 동일한 공유 물리 네트워크(예: Bluetooth 또는 IEEE 802.11)나 논리 네트워크(예: 로컬 IP 서브넷)에서 공격을 시작하거나, 보안 관리 도메인 또는 그 밖의 제한된 관리 도메인 내부에서 공격을 시작해야 할 수 있습니다(예: MPLS, 관리 네트워크 영역에 연결하는 보안 VPN).
* **로컬(AV:L):** 취약한 구성 요소가 네트워크 스택에 연결되어 있지 않으며, 공격자는 읽기/쓰기/실행 기능을 통해 접근합니다. 공격자는 대상 시스템에 로컬로 접근하거나(예: 키보드, 콘솔), 원격으로 접근하여(예: SSH) 취약점을 악용할 수 있습니다. 또는 다른 사람이 취약점 악용에 필요한 동작을 수행하도록 유도하여 사용자 상호작용에 의존할 수 있습니다(예: 정당한 사용자를 속여 악성 문서를 열게 함).
* **물리적(AV:P):** 공격자는 취약한 구성 요소를 물리적으로 만지거나 조작해야 합니다. 물리적 상호작용은 짧게 이루어질 수도, 지속적으로 이루어질 수도 있습니다.

</details>

<details>

<summary>공격 복잡도(AC)</summary>

이 지표는 취약점을 악용하기 위해 존재해야 하는, 공격자가 통제할 수 없는 조건을 설명합니다. 이러한 조건에는 대상에 관한 추가 정보 수집이나 계산상의 예외가 필요할 수 있습니다. 이 지표를 평가할 때는 취약점을 악용하기 위한 사용자 상호작용 요건을 고려하지 않습니다. 공격 성공에 특정 구성이 필요한 경우, 취약한 구성 요소가 해당 구성에 있다고 가정하여 기본 지표를 평가해야 합니다.

* **낮음(AC:L):** 특수한 접근 조건이나 불가피한 상황이 없습니다. 공격자는 취약한 구성 요소에 대해 반복적으로 공격에 성공할 수 있다고 예상할 수 있습니다.
* **높음(AC:H):** 공격 성공 여부는 공격자가 통제할 수 없는 조건에 따라 달라집니다. 즉, 공격자는 원하는 대로 공격에 성공할 수 없으며, 성공을 기대하기 전에 취약한 구성 요소를 대상으로 준비 또는 실행에 측정 가능한 수준의 노력을 투자해야 합니다. 예를 들어 공격자는 취약한 대상/구성 요소가 존재하는 환경에 관한 정보를 수집하거나, 악용의 신뢰성을 높이기 위해 대상 환경을 준비하거나, 네트워크 통신을 읽거나 수정하기 위해 대상과 피해자가 요청한 리소스 사이의 논리적 네트워크 경로에 침투해야 할 수 있습니다(예: 중간자 공격).

</details>

<details>

<summary>필요한 권한(PR)</summary>

이 지표는 취약점을 성공적으로 악용하기 전에 공격자가 보유해야 하는 권한 수준을 설명합니다.

* **없음(PR:N):** 공격자는 공격 전에 인증되지 않은 상태이므로 공격을 수행하기 위해 설정이나 파일에 접근할 필요가 없습니다.
* **낮음(PR:L):** 공격자는 일반적으로 사용자 소유의 설정과 파일에만 영향을 줄 수 있는 기본 사용자 기능을 제공하는 권한을 보유해야 합니다. 또는 낮은 권한을 가진 공격자는 민감하지 않은 리소스에만 영향을 줄 수 있습니다.
* **높음(PR:H):** 공격자는 취약한 구성 요소에 대해 상당한 수준의 제어 권한(예: 관리자 권한)을 보유해야 하며, 이 권한으로 구성 요소 전체의 설정과 파일에 영향을 줄 수 있습니다.

</details>

<details>

<summary>사용자 상호작용(UI)</summary>

이 지표는 취약한 구성 요소를 성공적으로 침해하기 위해 공격자가 아닌 사용자의 참여가 필요한지를 나타냅니다. 이 지표를 통해 취약점을 공격자의 의지만으로 악용할 수 있는지, 아니면 별도의 사용자(또는 사용자가 시작한 프로세스)가 어떤 방식으로든 참여해야 하는지를 판단합니다.

* **없음(UI:N):** 사용자의 상호작용 없이 취약한 시스템을 악용할 수 있습니다.
* **필요(UI:R):** 이 취약점을 성공적으로 악용하려면 먼저 사용자가 어떤 동작을 수행해야 합니다.

</details>

<details>

<summary>범위(S)</summary>

성공적인 공격이 취약한 구성 요소 이외의 구성 요소에도 영향을 미칩니까? 그렇다면 기본 점수가 높아지며, 기밀성, 무결성 및 인증 지표는 영향을 받는 구성 요소를 기준으로 평가해야 합니다.

* **변경 없음(S:U):** 악용된 취약점은 동일한 보안 권한 주체가 관리하는 리소스에만 영향을 미칠 수 있습니다. 이 경우 취약한 구성 요소와 영향을 받는 구성 요소는 동일하거나, 둘 다 동일한 보안 권한 주체가 관리합니다.
* **변경됨(S:C):** 악용된 취약점은 취약한 구성 요소의 보안 권한 주체가 관리하는 보안 범위를 벗어난 리소스에도 영향을 미칠 수 있습니다. 이 경우 취약한 구성 요소와 영향을 받는 구성 요소는 서로 다르며, 각각 다른 보안 권한 주체가 관리합니다.

</details>

#### 영향 지표

<details>

<summary>기밀성(C)</summary>

이 지표는 취약점을 성공적으로 악용했을 때 소프트웨어 구성 요소가 관리하는 정보 리소스의 기밀성에 미치는 영향을 측정합니다. 기밀성이란 정보에 대한 접근 및 공개를 권한이 있는 사용자로 제한하고, 권한이 없는 사용자의 접근이나 정보 공개를 방지하는 것을 의미합니다.

* **없음(C:N):** 영향을 받는 구성 요소의 기밀성 손실이 없습니다.
* **낮음(C:L):** 기밀성이 일부 손실됩니다. 일부 제한된 정보에 접근할 수 있지만, 공격자가 획득하는 정보의 내용이나 손실 규모를 제어할 수 없거나 손실의 범위 또는 종류가 제한적입니다. 정보 공개가 영향을 받는 구성 요소에 직접적이고 심각한 손실을 초래하지는 않습니다.
* **높음(C:H):** 기밀성이 완전히 손실되어 영향을 받는 구성 요소 내 모든 리소스가 공격자에게 공개됩니다. 또는 일부 제한된 정보에만 접근할 수 있지만, 공개된 정보가 직접적이고 심각한 영향을 초래합니다.

</details>

<details>

<summary>무결성(I)</summary>

이 지표는 취약점을 성공적으로 악용했을 때 무결성에 미치는 영향을 측정합니다. 무결성이란 정보의 신뢰성과 정확성을 의미합니다.

* **없음(I:N):** 영향을 받는 구성 요소의 무결성 손실이 없습니다.
* **낮음(I:L):** 데이터를 수정할 수 있지만, 공격자가 수정 결과를 제어할 수 없거나 수정 범위가 제한적입니다. 데이터 수정이 영향을 받는 구성 요소에 직접적이고 심각한 영향을 미치지는 않습니다.
* **높음(I:H):** 무결성 또는 보호 기능이 완전히 손실됩니다. 예를 들어 공격자가 영향을 받는 구성 요소로 보호되는 일부 또는 모든 파일을 수정할 수 있습니다. 또는 일부 파일만 수정할 수 있지만, 악의적인 수정이 영향을 받는 구성 요소에 직접적이고 심각한 결과를 초래합니다.

</details>

<details>

<summary>가용성(A)</summary>

이 지표는 취약점을 성공적으로 악용한 결과 영향을 받는 구성 요소의 가용성에 미치는 영향을 측정합니다. 이는 네트워크 서비스(예: 웹, 데이터베이스, 이메일)와 같이 영향을 받는 구성 요소 자체의 가용성 손실을 의미합니다. 가용성은 정보 리소스에 접근할 수 있는 상태를 의미하므로, 네트워크 대역폭, 프로세서 주기 또는 디스크 공간을 소모하는 공격은 모두 영향을 받는 구성 요소의 가용성에 영향을 미칩니다.

* **없음(A:N):** 영향을 받는 구성 요소의 가용성에 미치는 영향이 없습니다.
* **낮음(A:L):** 성능이 저하되거나 리소스 가용성이 간헐적으로 중단됩니다. 취약점을 반복해서 악용할 수 있더라도 공격자는 정상 사용자의 서비스 이용을 완전히 차단할 수 없습니다. 영향을 받는 구성 요소의 리소스는 항상 일부만 이용 가능하거나, 일정 시간에만 완전히 이용 가능하지만, 전반적으로 해당 구성 요소에 직접적이고 심각한 결과를 초래하지는 않습니다.
* **높음(A:H):** 가용성이 완전히 손실되어 공격자가 영향을 받는 구성 요소의 리소스에 대한 접근을 완전히 차단할 수 있습니다. 이러한 손실은 공격자가 공격을 계속하는 동안 지속되거나, 공격이 끝난 뒤에도 상태가 유지됩니다. 또는 공격자가 가용성을 일부 차단할 수 있지만, 그로 인해 영향을 받는 구성 요소에 직접적이고 심각한 결과가 발생합니다(예: 기존 연결은 끊을 수 없지만 새 연결은 차단할 수 있음. 성공할 때마다 소량의 메모리만 유출되는 취약점을 반복적으로 악용해 결국 서비스를 완전히 사용할 수 없게 만들 수 있음).

</details>

### CVSS 3.1: 시간적 점수

시간적 지표는 익스플로잇 기법 또는 코드의 현재 가용성, 패치나 해결 방법의 존재 여부, 그리고 취약점 설명에 대한 신뢰도를 측정합니다.

<details>

<summary>익스플로잇 코드 성숙도(E)</summary>

이 지표는 취약점이 공격받을 가능성을 측정하며, 일반적으로 익스플로잇 기법의 현재 상태, 익스플로잇 코드의 가용성 또는 실제 환경에서의 활발한 악용 여부를 기준으로 평가합니다.

* **정의되지 않음(E:X):** 기본 설정입니다. 이 값을 지정하면 다른 값 중 하나를 선택하기에 정보가 충분하지 않다는 의미이며, 전체 시간적 점수에는 영향을 미치지 않습니다. 즉, 점수 산정에서 높음(High)을 지정한 것과 같은 효과가 있습니다.
* **익스플로잇 존재가 입증되지 않음(E:U):** 익스플로잇 코드를 사용할 수 없거나 익스플로잇이 이론적인 수준입니다.
* **개념 증명 코드(E:P):** 개념 증명용 익스플로잇 코드를 사용할 수 있거나, 대부분의 시스템에서 공격 시연이 실용적이지 않습니다. 코드나 기법은 모든 상황에서 작동하지 않으며 숙련된 공격자가 상당한 수정을 해야 할 수 있습니다.
* **작동하는 익스플로잇 존재(E:F):** 작동하는 익스플로잇 코드를 사용할 수 있습니다. 이 코드는 취약점이 존재하는 대부분의 상황에서 작동합니다.
* **높음(E:H):** 기능하는 자율형 코드가 존재하거나, 익스플로잇에 별도의 코드가 필요하지 않고(수동 트리거) 세부 정보가 널리 공개되어 있습니다. 익스플로잇 코드는 모든 상황에서 작동하거나, 자율 에이전트(예: 웜 또는 바이러스)를 통해 현재 활발히 배포되고 있습니다. 네트워크에 연결된 시스템은 스캔 또는 익스플로잇 시도에 노출될 가능성이 높습니다. 익스플로잇 개발은 신뢰성 높고 널리 이용 가능하며 사용하기 쉬운 자동화 도구가 등장하는 수준에 이르렀습니다.

</details>

<details>

<summary>개선 수준(RL)</summary>

이 지표는 우선순위 지정에 중요한 요소입니다. 일반적으로 취약점은 처음 공개될 때 패치가 적용되지 않은 상태입니다. 공식 패치나 업그레이드가 제공될 때까지 임시 개선책으로 우회 방법이나 핫픽스를 사용할 수 있습니다. 이러한 각 단계는 개선이 최종 단계에 가까워질수록 긴급성이 낮아짐을 반영하여 시간 점수를 낮춥니다.

* **정의되지 않음(RL:X):** 기본 설정입니다. 이 값을 지정하면 다른 값 중 하나를 선택할 정보가 충분하지 않음을 나타내며 전체 시간 점수에 영향을 주지 않습니다. 즉, 사용 불가를 지정한 경우와 점수 산정 효과가 같습니다.
* **공식 수정(RL:O):** 공급업체의 완전한 해결책을 사용할 수 있습니다. 공급업체가 공식 패치를 배포했거나 업그레이드를 제공하는 경우입니다.
* **임시 수정(RL:T):** 공식적이지만 임시적인 수정 방법을 사용할 수 있습니다. 공급업체가 임시 핫픽스, 도구 또는 우회 방법을 제공하는 경우가 이에 해당합니다.
* **우회 방법(RL:W):** 공식 공급업체가 제공하지 않은 해결책을 사용할 수 있습니다. 경우에 따라 영향을 받는 기술의 사용자가 자체 패치를 만들거나, 취약점을 우회하거나 다른 방식으로 완화하는 절차를 제공하기도 합니다.
* **사용 불가(RL:U):** 해결책이 없거나 적용할 수 없습니다.

</details>

<details>

<summary>보고 신뢰도(RC)</summary>

이 지표는 취약점의 존재 여부와 알려진 기술 세부 정보의 신뢰도에 대한 확신 수준을 측정합니다. 때로는 구체적인 세부 정보 없이 취약점의 존재만 공개되기도 합니다. 예를 들어, 바람직하지 않은 영향이 확인되었지만 근본 원인은 알려지지 않았을 수 있습니다. 이후 취약점이 어디에 있을 수 있는지 시사하는 연구를 통해 해당 취약점이 뒷받침될 수 있지만, 연구 결과가 확실하지 않을 수도 있습니다. 마지막으로, 영향을 받는 기술의 작성자나 공급업체가 인정하면 취약점이 확인될 수 있습니다. 취약점의 존재가 확실하게 알려져 있을수록 긴급성은 높아집니다. 이 지표는 공격자가 활용할 수 있는 기술 지식의 수준도 나타냅니다.

* **정의되지 않음(RC:X):** 이 값을 지정하면 다른 값 중 하나를 선택할 정보가 충분하지 않음을 나타내며 전체 시간 점수에 영향을 주지 않습니다. 즉, 확인됨을 지정한 경우와 점수 산정 효과가 같습니다.
* **알 수 없음(RC:U):** 취약점이 존재함을 시사하는 영향 보고가 있습니다. 보고 내용에 따르면 취약점의 원인을 알 수 없거나, 보고마다 취약점의 원인 또는 영향이 다를 수 있습니다. 보고자들은 취약점의 실제 특성을 확신하지 못하며, 보고의 타당성이나 기술된 차이를 고려할 때 고정 기본 점수를 적용할 수 있는지에 대한 신뢰도가 낮습니다. 예를 들어, 간헐적으로 발생하지만 재현할 수 없는 충돌을 기록한 버그 보고서에서 메모리 손상 정황이 확인되어 서비스 거부 또는 더 심각한 영향이 발생할 가능성이 제기되는 경우가 이에 해당합니다.
* **합리적(RC:R):** 중요한 세부 정보가 공개되었지만, 연구자들이 근본 원인을 완전히 확신하지 못하거나 결과로 이어질 수 있는 모든 상호작용을 완전히 확인할 소스 코드에 접근할 수 없습니다. 그러나 버그를 재현할 수 있고 적어도 하나의 영향을 검증할 수 있다는 점에는 합리적인 신뢰가 있습니다(개념 증명 익스플로잇을 통해 이를 입증할 수 있습니다). 예를 들어, 취약점 연구에 대한 상세한 설명과 함께 결과를 재현하는 방법을 보장하는 해설(불명확하게 작성되었거나 '독자가 직접 해결해야 할 문제'로 남겨둔 경우도 있음)이 제공되는 경우가 이에 해당합니다.
* **확인됨(RC:C):** 상세한 보고서가 있거나 기능적으로 재현할 수 있습니다(기능하는 익스플로잇으로 입증할 수 있습니다). 연구 결과를 독립적으로 검증할 소스 코드가 제공되거나, 영향을 받는 코드의 작성자 또는 공급업체가 취약점의 존재를 확인했습니다.

</details>

### CVSS 3.1: 환경 점수

이 지표를 사용하면 분석가가 사용자 조직에서 영향을 받는 IT 자산의 중요도를 고려해 CVSS 점수를 조정할 수 있습니다. 중요도는 적용 중인 보완 또는 대체 보안 통제와 기밀성, 무결성 및 가용성 측면에서 평가합니다. 이 지표는 기본 지표에 해당하는 수정 지표이며, 조직 인프라 내 구성요소의 위치에 따라 지표 값을 지정합니다.

#### 악용 가능성 지표

<details>

<summary>공격 벡터(MAV)</summary>

이 지표는 취약점 악용이 가능한 상황을 나타냅니다. 취약한 구성요소를 악용하는 공격자가 논리적·물리적으로 더 원격에 있을 수 있을수록 환경 점수가 높아집니다.

* **정의되지 않음(MAV:X):** 해당 기본 지표에 지정된 값을 사용합니다.
* **네트워크(MAV:N):** 취약한 구성요소가 네트워크 스택에 연결되어 있으며, 공격자 범위가 다른 선택지를 넘어 인터넷 전체에까지 확장됩니다. 이러한 취약점은 흔히 '원격 악용 가능'하다고 하며, 하나 이상의 네트워크 홉을 거쳐 프로토콜 수준에서 공격할 수 있는 것으로 볼 수 있습니다.
* **인접 네트워크(MAV:A):** 취약한 구성요소가 네트워크 스택에 연결되어 있지만, 공격은 프로토콜 수준에서 논리적으로 인접한 네트워크 토폴로지로 제한됩니다. 즉, 동일한 공유 물리 네트워크(예: Bluetooth 또는 IEEE 802.11)나 논리 네트워크(예: 로컬 IP 서브넷)에서, 또는 보안이 적용되거나 그 밖에 제한된 관리 도메인(예: MPLS, 보안 VPN) 내에서 공격을 시작해야 할 수 있습니다.
* **로컬(MAV:L):** 취약한 구성요소가 네트워크 스택에 연결되어 있지 않으며, 공격자는 읽기/쓰기/실행 권한을 통해 접근합니다. 공격자는 대상 시스템에 로컬로(예: 키보드, 콘솔) 또는 원격으로(예: SSH) 접근해 취약점을 악용하거나, 다른 사람의 사용자 상호작용에 의존해 취약점 악용에 필요한 작업을 수행하게 할 수 있습니다(예: 정당한 사용자가 악성 문서를 열도록 속이는 경우).
* **물리적(MAV:P):** 공격자는 취약한 구성요소를 물리적으로 만지거나 조작해야 합니다. 물리적 상호작용은 짧게 한 번 발생할 수도 있고 지속적으로 이루어질 수도 있습니다.

</details>

<details>

<summary>공격 복잡도(MAC)</summary>

이 지표는 취약점을 악용하기 위해 존재해야 하는, 공격자가 통제할 수 없는 조건을 설명합니다. 이러한 조건에는 대상에 관한 추가 정보 수집이나 계산상의 예외가 필요할 수 있습니다. 이 지표를 평가할 때는 취약점을 악용하기 위한 사용자 상호작용 요건을 고려하지 않습니다. 공격 성공에 특정 구성이 필요한 경우, 취약한 구성 요소가 해당 구성에 있다고 가정하여 기본 지표를 평가해야 합니다.

* **정의되지 않음(MAC:X):** 해당 기본 지표에 지정된 값을 사용합니다.
* **낮음(MAC:L):** 특수한 접근 조건이나 예외적인 상황이 필요하지 않습니다. 공격자는 취약한 구성요소를 대상으로 반복해서 공격에 성공할 수 있습니다.
* **높음(MAC:H):** 공격 성공 여부는 공격자가 통제할 수 없는 조건에 달려 있습니다. 즉, 공격자는 원할 때 언제든지 공격에 성공할 수 없으며, 성공을 기대하기 전에 취약한 구성요소를 대상으로 준비나 실행에 상당한 노력을 들여야 합니다. 예를 들어, 공격자는 취약한 대상/구성요소가 있는 환경에 관한 정보를 수집하거나, 익스플로잇의 신뢰성을 높이기 위해 대상 환경을 준비하거나, 피해자가 요청한 리소스에 이르는 논리적 네트워크 경로에 침입하여 네트워크 통신을 읽거나 수정해야 할 수 있습니다(예: 중간자 공격).

</details>

<details>

<summary>필요 권한(MPR)</summary>

이 지표는 취약점을 성공적으로 악용하기 전에 공격자가 보유해야 하는 권한 수준을 설명합니다.

* **정의되지 않음(MPR:X):** 해당 기본 지표에 지정된 값을 사용합니다.
* **없음(MPR:N):** 공격자는 공격 전에 인증되지 않은 상태이므로 공격을 수행하기 위해 설정이나 파일에 접근할 필요가 없습니다.
* **낮음(MPR:L):** 공격자는 일반적으로 사용자 소유의 설정 및 파일에만 영향을 줄 수 있는 기본적인 사용자 권한을 제공하는 권한으로 인증되어야 합니다(즉, 해당 권한이 필요합니다). 또는 낮은 권한을 가진 공격자는 민감하지 않은 리소스에만 영향을 미칠 수 있습니다.
* **높음 (MPR:H):** 공격자는 취약한 구성 요소 전반의 설정 및 파일에 영향을 줄 수 있는 상당한 수준의 제어 권한(예: 관리자 권한)을 제공하는 권한으로 인증되어야 합니다(즉, 해당 권한이 필요합니다).

</details>

<details>

<summary>사용자 상호 작용 (MUI)</summary>

이 지표는 취약한 구성 요소를 성공적으로 침해하기 위해 공격자가 아닌 사용자의 참여가 필요한지를 나타냅니다. 이 지표를 통해 취약점을 공격자의 의지만으로 악용할 수 있는지, 아니면 별도의 사용자(또는 사용자가 시작한 프로세스)가 어떤 방식으로든 참여해야 하는지를 판단합니다.

* **정의되지 않음 (MUI:X):** 해당하는 기본 지표에 지정된 값을 사용합니다.
* **없음 (MUI:N):** 취약한 시스템은 어떤 사용자도 상호 작용하지 않아도 악용할 수 있습니다.
* **필요함 (MUI:R):** 이 취약점을 성공적으로 악용하려면 취약점을 악용하기 전에 사용자가 어떤 조치를 취해야 합니다.

</details>

<details>

<summary>범위 (MS)</summary>

성공적인 공격이 취약한 구성 요소 이외의 구성 요소에도 영향을 미칩니까? 그렇다면 기본 점수가 높아지며, 기밀성, 무결성 및 인증 지표는 영향을 받는 구성 요소를 기준으로 평가해야 합니다.

* **정의되지 않음 (MS:X):** 해당하는 기본 지표에 지정된 값을 사용합니다.
* **변경되지 않음 (MS:U):** 악용된 취약점은 동일한 보안 권한 기관이 관리하는 리소스에만 영향을 미칠 수 있습니다. 이 경우 취약한 구성 요소와 영향을 받는 구성 요소가 동일하거나, 둘 다 동일한 보안 권한 기관에서 관리합니다.
* **변경됨 (MS:C):** 악용된 취약점은 취약한 구성 요소의 보안 권한 기관이 관리하는 보안 범위를 벗어난 리소스에도 영향을 미칠 수 있습니다. 이 경우 취약한 구성 요소와 영향을 받는 구성 요소가 서로 다르고, 서로 다른 보안 권한 기관에서 관리합니다.

</details>

#### 영향 지표

<details>

<summary>기밀성 영향 (MC)</summary>

이 지표는 취약점을 성공적으로 악용했을 때 소프트웨어 구성 요소가 관리하는 정보 리소스의 기밀성에 미치는 영향을 측정합니다. 기밀성이란 정보에 대한 접근 및 공개를 권한이 있는 사용자로 제한하고, 권한이 없는 사용자의 접근이나 정보 공개를 방지하는 것을 의미합니다.

* **정의되지 않음 (MC:X):** 해당하는 기본 지표에 지정된 값을 사용합니다.
* **없음 (MC:N):** 영향을 받는 구성 요소에서 기밀성 손실이 발생하지 않습니다.
* **낮음 (MC:L):** 기밀성이 일부 손실됩니다. 일부 제한된 정보에 접근할 수 있지만, 공격자가 어떤 정보를 얻을지 제어할 수 없거나 정보 손실의 양 또는 유형이 제한됩니다. 정보 공개로 인해 영향을 받는 구성 요소에 직접적이고 심각한 손실이 발생하지는 않습니다.
* **높음 (MC:H):** 기밀성이 완전히 손실되어 영향을 받는 구성 요소의 모든 리소스가 공격자에게 공개됩니다. 또는 일부 제한된 정보에만 접근할 수 있지만, 공개된 정보가 직접적이고 심각한 영향을 초래합니다.

</details>

<details>

<summary>무결성 영향 (MI)</summary>

이 지표는 취약점을 성공적으로 악용했을 때 무결성에 미치는 영향을 측정합니다. 무결성이란 정보의 신뢰성과 정확성을 의미합니다.

* **정의되지 않음 (X):** 해당하는 기본 지표에 지정된 값을 사용합니다.
* **없음:** 영향을 받는 구성 요소에서 무결성 손실이 발생하지 않습니다.
* **낮음:** 데이터를 수정할 수 있지만, 공격자가 수정으로 인한 결과를 제어할 수 없거나 수정 범위가 제한됩니다. 데이터 수정으로 인해 영향을 받는 구성 요소에 직접적이고 심각한 영향이 발생하지는 않습니다.
* **높음:** 무결성이 완전히 손실되거나 보호 기능이 완전히 상실됩니다. 예를 들어 공격자가 영향을 받는 구성 요소로 보호되는 파일 일부 또는 전부를 수정할 수 있습니다. 또는 일부 파일만 수정할 수 있더라도 악의적인 수정으로 인해 영향을 받는 구성 요소에 직접적이고 심각한 결과가 초래될 수 있습니다.

</details>

<details>

<summary>가용성 영향 (MA)</summary>

이 지표는 취약점을 성공적으로 악용한 결과 영향을 받는 구성 요소의 가용성에 미치는 영향을 측정합니다. 이는 네트워크 서비스(예: 웹, 데이터베이스, 이메일)와 같이 영향을 받는 구성 요소 자체의 가용성 손실을 의미합니다. 가용성은 정보 리소스에 접근할 수 있는 상태를 의미하므로, 네트워크 대역폭, 프로세서 주기 또는 디스크 공간을 소모하는 공격은 모두 영향을 받는 구성 요소의 가용성에 영향을 미칩니다.

* **정의되지 않음 (MA:X):** 해당하는 기본 지표에 지정된 값을 사용합니다.
* **없음 (MA:N):** 영향을 받는 구성 요소의 가용성에 영향이 없습니다.
* **낮음 (MA:L):** 성능이 저하되거나 리소스 가용성에 중단이 발생합니다. 취약점을 반복적으로 악용할 수 있더라도 공격자는 정상 사용자의 서비스 이용을 완전히 차단할 수 없습니다. 영향을 받는 구성 요소의 리소스는 항상 부분적으로 사용 가능하거나, 일부 시간에만 완전히 사용 가능하지만, 전반적으로 영향을 받는 구성 요소에 직접적이고 심각한 결과가 발생하지는 않습니다.
* **높음 (MA:H):** 가용성이 완전히 손실되어 공격자가 영향을 받는 구성 요소의 리소스에 대한 접근을 완전히 차단할 수 있습니다. 이러한 손실은 공격자가 계속 공격을 수행하는 동안 지속되거나, 공격이 완료된 후에도 상태가 계속 유지될 수 있습니다. 또는 공격자가 일부 가용성을 차단할 수 있지만, 가용성 손실이 영향을 받는 구성 요소에 직접적이고 심각한 결과를 초래합니다(예: 공격자가 기존 연결을 끊을 수는 없지만 새 연결을 차단할 수 있음. 공격자가 취약점을 반복적으로 악용하여 각 공격 성공 시 소량의 메모리만 유출되게 할 수 있지만, 반복 악용 후에는 서비스가 완전히 사용할 수 없게 됨).

</details>

#### 영향 하위 점수 수정자

<details>

<summary>기밀성 요구 사항 (CR)</summary>

이 지표는 취약점의 존재 여부와 알려진 기술 세부 정보의 신뢰도에 대한 확신 수준을 측정합니다. 때로는 구체적인 세부 정보 없이 취약점의 존재만 공개되기도 합니다. 예를 들어, 바람직하지 않은 영향이 확인되었지만 근본 원인은 알려지지 않았을 수 있습니다. 이후 취약점이 어디에 있을 수 있는지 시사하는 연구를 통해 해당 취약점이 뒷받침될 수 있지만, 연구 결과가 확실하지 않을 수도 있습니다. 마지막으로, 영향을 받는 기술의 작성자나 공급업체가 인정하면 취약점이 확인될 수 있습니다. 취약점의 존재가 확실하게 알려져 있을수록 긴급성은 높아집니다. 이 지표는 공격자가 활용할 수 있는 기술 지식의 수준도 나타냅니다.

* **정의되지 않음 (CR:X):** 이 값을 지정하면 다른 값 중 하나를 선택하기에 정보가 충분하지 않음을 나타냅니다. 전체 환경 점수에는 영향을 주지 않습니다. 즉, 점수 산정 시 보통을 지정한 것과 동일한 효과가 있습니다.
* **낮음 (CR:L):** 기밀성 손실은 조직 또는 조직과 관련된 개인(예: 직원, 고객)에게 제한적인 악영향만 미칠 가능성이 높습니다.
* **중간(CR:M):** 이 값을 지표에 지정해도 점수에 영향을 주지 않습니다.
* **높음(CR:H):** 기밀성이 손실되면 조직 또는 조직과 관련된 개인(예: 직원, 고객)에게 치명적인 악영향을 미칠 가능성이 높습니다.

</details>

<details>

<summary>무결성 요구사항(IR)</summary>

이 지표를 사용하면 분석가는 다른 영향과 비교하여 영향을 받는 IT 자산의 무결성이 사용자 조직에 얼마나 중요한지에 따라 CVSS 점수를 조정할 수 있습니다. 이 지표는 수정된 무결성 영향 지표에 다른 수정된 영향 지표와 비교해 가중치를 다시 부여하여 환경 점수를 조정합니다.

* **정의되지 않음(IR:X):** 이 값을 지정하면 다른 값 중 하나를 선택하기에 정보가 충분하지 않음을 나타내며, 전체 환경 점수에는 영향을 미치지 않습니다. 즉, 점수 산정에 미치는 효과는 중간을 지정한 경우와 같습니다.
* **낮음(IR:L):** 무결성이 손실되면 조직 또는 조직과 관련된 개인(예: 직원, 고객)에게 제한적인 악영향만 미칠 가능성이 높습니다.
* **중간(IR:M):** 이 값을 지표에 지정해도 점수에 영향을 주지 않습니다.
* **높음(IR:H):** 무결성이 손실되면 조직 또는 조직과 관련된 개인(예: 직원, 고객)에게 치명적인 악영향을 미칠 가능성이 높습니다.

</details>

<details>

<summary>가용성 요구사항(AR)</summary>

이 지표를 사용하면 분석가는 다른 영향과 비교하여 영향을 받는 IT 자산의 가용성이 사용자 조직에 얼마나 중요한지에 따라 CVSS 점수를 조정할 수 있습니다. 이 지표는 수정된 가용성 영향 지표에 다른 수정된 영향 지표와 비교해 가중치를 다시 부여하여 환경 점수를 조정합니다.

* **정의되지 않음(AR:X):** 이 값을 지정하면 다른 값 중 하나를 선택하기에 정보가 충분하지 않음을 나타내며, 전체 환경 점수에는 영향을 미치지 않습니다. 즉, 점수 산정에 미치는 효과는 중간을 지정한 경우와 같습니다.
* **낮음(AR:L):** 가용성이 손실되면 조직 또는 조직과 관련된 개인(예: 직원, 고객)에게 제한적인 악영향만 미칠 가능성이 높습니다.
* **중간(AR:M):** 이 값을 지표에 지정해도 점수에 영향을 주지 않습니다.
* **높음(AR:H):** 가용성이 손실되면 조직 또는 조직과 관련된 개인(예: 직원, 고객)에게 치명적인 악영향을 미칠 가능성이 높습니다.

</details>

## CVSS 2.1

### 기본 CVSS 점수

NVD의 모든 취약점에는 기본 CVSS 점수가 부여됩니다. 기본 지표 그룹은 시간과 사용자 환경이 달라져도 변하지 않는 취약점의 특성을 나타냅니다. 접근 벡터, 접근 복잡도, 인증 지표는 취약점에 접근하는 방법과 취약점을 악용하기 위해 추가 조건이 필요한지를 나타냅니다. 세 가지 영향 지표는 취약점을 악용했을 때 IT 자산에 직접 미치는 영향을 측정하며, 영향은 기밀성, 무결성, 가용성의 손실 정도로 각각 정의됩니다. 예를 들어 취약점으로 인해 무결성과 가용성이 부분적으로 손실될 수 있지만, 기밀성은 손실되지 않을 수 있습니다.

기본 점수는 **수정할 수 없지만, 해당 기기의 상황을 평가하여 시간적 점수와 환경 점수를 수정할 수 있습니다. 이 두 섹션의 모든 지표는 기본적으로 정의되지 않음(X)으로 설정되어 있으며, 이는 CVSS 점수에 가장 큰 영향을 미칩니다.** 할 수 없습니다

모든 정의는 first.org의 [CVSS v2 계산기](https://nvd.nist.gov/vuln-metrics/cvss/v2-calculator?calculator).

CVSS 기본 점수는 악용 가능성 지표와 영향 지표로 나뉩니다. 악용 가능성 지표에는 공격 벡터, 접근 복잡도, 인증이 포함되며, 영향 지표에는 기밀성 영향, 무결성 영향, 가용성 영향이 포함됩니다.

<details>

<summary>CVSS 2 벡터 문자열 읽기</summary>

CVSS 2에서는 벡터 문자열에서 /로 구분된 각 섹션이 기본, 보충, 환경, 위협 범주의 하위 범주 중 하나에 해당합니다. 따라서 다음과 같은 문자열은

AV:N/AC:H/Au:N/C:P/I:P/A:P/E:POC/RL:OF/RC:UC

다음을 나타냅니다. **접근 벡터** 는 **네트워크**, **접근 복잡도** 는 **높음**, **인증** 는 **없음**, 그리고 **기밀성 영향** 는 **부분적**, **무결성 영향** 는 **부분적**, 그리고 **가용성 영향** 는 **부분적**을 나타냅니다. 또한 다음을 나타냅니다. **악용 가능성** 는 **개념 증명 코드**, **대응 수준** 는 **공식 수정 사항**, 그리고 **보고 신뢰도** 는 **미확인**.

CVSS 2는 최초의 CVSS 심각도 점수 산정 표준이므로 버전이 뒤에 붙지 않습니다.

</details>

#### 악용 가능성 지표

<details>

<summary>접근 벡터(AV)</summary>

* **로컬(AV:L):** 로컬 접근만으로 악용할 수 있는 취약점의 경우, 공격자는 취약한 시스템에 물리적으로 접근하거나 로컬(셸) 계정을 보유해야 합니다. 로컬에서 악용할 수 있는 취약점의 예로는 Firewire/USB DMA 공격과 같은 주변 장치 공격 및 로컬 권한 상승(예: sudo)이 있습니다.
* **인접 네트워크(AV:A):** 인접 네트워크 접근을 통해 악용할 수 있는 취약점의 경우, 공격자는 취약한 소프트웨어의 브로드캐스트 도메인 또는 충돌 도메인에 접근할 수 있어야 합니다. 로컬 네트워크의 예로는 로컬 IP 서브넷, Bluetooth, IEEE 802.11 및 로컬 Ethernet 세그먼트가 있습니다.
* **네트워크(AV:N):** 네트워크 접근을 통해 악용할 수 있다는 것은 취약한 소프트웨어가 네트워크 스택에 연결되어 있으며 공격자에게 로컬 네트워크 접근이나 로컬 접근이 필요하지 않다는 의미입니다. 이러한 취약점은 흔히 “원격 악용 가능”이라고 합니다. 네트워크 공격의 예로는 RPC 버퍼 오버플로가 있습니다.

</details>

<details>

<summary>접근 복잡도(AC)</summary>

* **높음(AC:H):** 특수한 접근 조건이 존재합니다. 예를 들어 대부분의 구성에서는 공격자가 이미 높은 권한을 보유하거나 공격 시스템 외에 추가 시스템을 스푸핑해야 합니다(예: DNS 하이재킹). 공격은 전문 지식을 갖춘 사람이 쉽게 알아차릴 수 있는 사회공학 기법에 의존합니다. 예를 들어 피해자가 의심스럽거나 비정상적인 행동을 여러 차례 해야 합니다. 취약한 구성은 실제 환경에서 매우 드물게 나타납니다. 경쟁 상태가 있는 경우 그 발생 가능 시간은 매우 짧습니다.
* **중간(AC:M):** 접근 조건이 어느 정도 특수합니다. 예를 들면 다음과 같습니다. 공격자는 특정 수준의 권한이 있는 시스템 또는 사용자 그룹으로 제한될 수 있으며, 해당 권한은 신뢰할 수 없는 것일 수도 있습니다. 공격을 성공적으로 수행하기 전에 일부 정보를 수집해야 합니다. 영향을 받는 구성은 기본값이 아니며 일반적으로 구성되지 않습니다(예: 서버가 특정 인증 방식으로 사용자 계정을 인증할 때는 취약점이 있지만 다른 인증 방식에서는 취약하지 않은 경우). 공격에는 약간의 사회공학이 필요하며, 이로 인해 신중한 사용자도 때때로 속을 수 있습니다(예: 웹 브라우저의 상태 표시줄에 잘못된 링크가 표시되도록 하는 피싱 공격, 인스턴트 메시지 익스플로잇을 보내기 전에 상대방의 “친구” 목록에 등록되어 있어야 하는 경우).
* **낮음(AC:L):** 특수한 접근 조건이나 정상 참작 사유가 없습니다. 예를 들면 다음과 같습니다. 영향을 받는 제품은 일반적으로 익명 사용자나 신뢰할 수 없는 사용자를 포함해 광범위한 시스템과 사용자가 접근할 수 있습니다(예: 인터넷에 노출된 웹 서버 또는 메일 서버). 영향을 받는 구성은 기본값이거나 널리 사용됩니다. 공격은 수동으로 수행할 수 있으며 숙련도나 추가 정보 수집이 거의 필요하지 않습니다. '경쟁 상태'는 느슨한 조건입니다(즉, 기술적으로는 경쟁 상태이지만 쉽게 이길 수 있습니다).

</details>

<details>

<summary>인증(Au)</summary>

* **다중(Au:M):** 취약점을 악용하려면 공격자가 두 번 이상 인증해야 합니다. 매번 같은 자격 증명을 사용해도 마찬가지입니다. 예를 들어 공격자가 애플리케이션에 접근하기 위한 자격 증명뿐 아니라 해당 애플리케이션이 호스팅된 시스템의 운영 체제에도 인증해야 하는 경우가 있습니다.
* **단일(Au:S):** 취약점에 접근하고 이를 악용하려면 한 번의 인증이 필요합니다.
* **없음(Au:N):** 취약점에 접근하고 이를 악용하는 데 인증이 필요하지 않습니다.

</details>

#### 영향 지표

<details>

<summary>기밀성 영향(C)</summary>

* **없음(C:N):** 시스템의 기밀성에 영향이 없습니다.
* **부분(C:P):** 상당한 정보 공개가 발생합니다. 일부 시스템 파일에 접근할 수 있지만, 공격자는 어떤 정보가 획득되는지 제어할 수 없거나 정보 손실 범위가 제한됩니다. 예를 들어 데이터베이스의 특정 테이블만 노출하는 취약점이 있습니다.
* **전체(C:C):** 정보가 전부 공개되어 모든 시스템 파일이 노출됩니다. 공격자는 시스템의 모든 데이터(메모리, 파일 등)를 읽을 수 있습니다.

</details>

<details>

<summary>무결성 영향(I)</summary>

* **없음(I:N):** 시스템 무결성에 영향이 없습니다.
* **부분(I:P):** 일부 시스템 파일이나 정보를 수정할 수 있지만, 공격자는 수정 대상을 제어할 수 없거나 영향을 미칠 수 있는 범위가 제한됩니다. 예를 들어 시스템 또는 애플리케이션 파일을 덮어쓰거나 수정할 수 있지만, 공격자가 영향을 받는 파일을 선택할 수 없거나 제한된 컨텍스트 또는 범위 안에서만 파일을 수정할 수 있습니다.
* **전체(I:C):** 시스템 무결성이 완전히 침해됩니다. 시스템 보호 기능이 완전히 상실되어 시스템 전체가 침해됩니다. 공격자는 대상 시스템의 모든 파일을 수정할 수 있습니다.

</details>

<details>

<summary>가용성 영향(A)</summary>

* **없음(A:N):** 시스템 가용성에 영향이 없습니다.
* **부분(A:P):** 성능이 저하되거나 리소스 가용성이 중단됩니다. 예를 들어 네트워크 기반 플러딩 공격으로 인해 인터넷 서비스에 성공적으로 연결할 수 있는 수가 제한될 수 있습니다.
* **전체(A:C):** 영향을 받는 리소스가 완전히 중단됩니다. 공격자는 해당 리소스를 완전히 사용할 수 없게 만들 수 있습니다.

</details>

### CVSS 2: 시간 점수

취약점이 초래하는 위협은 시간이 지나면서 달라질 수 있습니다. CVSS가 반영하는 관련 요소는 다음 세 가지입니다. 취약점의 기술적 세부 정보가 확인되었는지, 취약점의 해결 상태, 익스플로잇 코드 또는 기법의 이용 가능 여부입니다. 시간 메트릭은 선택 사항이므로 각 메트릭에는 점수에 영향을 주지 않는 값이 포함됩니다. 이 값은 사용자가 해당 메트릭이 적용되지 않는다고 판단하여 이를 "건너뛰고" 싶은 경우에 사용합니다.

<details>

<summary>익스플로잇 가능성 (E)</summary>

* **정의되지 않음 (E:ND):** 이 값을 메트릭에 지정해도 점수에 영향을 주지 않습니다. 이 값은 계산식에 해당 메트릭을 건너뛰라는 신호입니다.
* **익스플로잇 존재가 입증되지 않음 (E:U):** 익스플로잇 코드가 없거나, 익스플로잇이 전적으로 이론적인 수준입니다.
* **개념 증명(Proof-of-Concept) 코드 (E:POC):** 개념 증명 익스플로잇 코드 또는 대부분의 시스템에서 실용적으로 사용할 수 없는 공격 시연이 존재합니다. 코드나 기법은 모든 상황에서 작동하지 않으며, 숙련된 공격자가 상당한 수정을 해야 할 수 있습니다.
* **작동하는 익스플로잇 존재(E:F):** 작동하는 익스플로잇 코드를 사용할 수 있습니다. 이 코드는 취약점이 존재하는 대부분의 상황에서 작동합니다.
* **높음 (E:H):** 취약점을 작동 가능한 이동형 자율 코드로 악용할 수 있거나, 익스플로잇이 필요하지 않고(수동 실행) 세부 정보가 널리 공개되어 있습니다. 코드는 모든 상황에서 작동하거나, 웜이나 바이러스와 같은 이동형 자율 에이전트를 통해 활발히 유포되고 있습니다.

</details>

<details>

<summary>개선 수준(RL)</summary>

* **정의되지 않음 (RL:ND):** 이 값을 메트릭에 지정해도 점수에 영향을 주지 않습니다. 이 값은 계산식에 해당 메트릭을 건너뛰라는 신호입니다.
* **공식 수정 사항 (RL:OF):** 공급업체의 완전한 해결책을 사용할 수 있습니다. 공급업체가 공식 패치를 배포했거나 업그레이드가 제공된 경우입니다.
* **임시 수정 사항 (RL:TF):** 공식적인 임시 수정 사항을 사용할 수 있습니다. 공급업체가 임시 핫픽스, 도구 또는 해결 방법을 제공한 경우가 이에 해당합니다.
* **우회 방법(RL:W):** 공식 공급업체가 제공하지 않은 해결책을 사용할 수 있습니다. 경우에 따라 영향을 받는 기술의 사용자가 자체 패치를 만들거나, 취약점을 우회하거나 다른 방식으로 완화하는 절차를 제공하기도 합니다.
* **사용 불가(RL:U):** 해결책이 없거나 적용할 수 없습니다.

</details>

<details>

<summary>보고 신뢰도(RC)</summary>

* **정의되지 않음 (RC:ND):** 이 값을 메트릭에 지정해도 점수에 영향을 주지 않습니다. 이 값은 계산식에 해당 메트릭을 건너뛰라는 신호입니다.
* **미확인 (RC:UC):** 확인되지 않은 출처가 하나 있거나 서로 상충하는 보고가 여러 건 있을 수 있습니다. 보고 내용의 타당성에 대한 신뢰도가 낮습니다. 해커 커뮤니티에서 퍼진 소문이 그 예입니다.
* **교차 검증되지 않음 (RC:UR):** 독립적인 보안 기업이나 연구 기관을 포함해 공식적이지 않은 출처가 여러 곳 있습니다. 이 단계에서는 기술적 세부 정보가 서로 상충하거나 다른 불확실성이 남아 있을 수 있습니다.
* **확인됨 (RC:C):** 영향을 받는 기술의 공급업체 또는 작성자가 취약점을 인정했습니다. 또한 기능하는 익스플로잇 코드 또는 개념 증명 코드의 공개, 광범위한 악용과 같은 외부 사건을 통해 존재가 확인된 경우에도 취약점은 "확인됨"으로 볼 수 있습니다.

</details>

### CVSS 2: 환경 점수

환경에 따라 취약점이 조직과 이해관계자에게 초래하는 위험은 크게 달라질 수 있습니다. CVSS 환경 메트릭 그룹은 사용자의 IT 환경과 관련된 취약점의 특성을 반영합니다. 환경 메트릭은 선택 사항이므로 각 메트릭에는 점수에 영향을 주지 않는 값이 포함됩니다. 이 값은 사용자가 해당 메트릭이 적용되지 않는다고 판단하여 이를 '건너뛰고' 싶은 경우에 사용합니다.

CVSS 환경 점수는 일반 조정 항목과 영향 하위 점수 조정 항목으로 나뉩니다. 일반 조정 항목에는 부수적 피해 가능성과 대상 분포가 포함되며, 영향 하위 점수 조정 항목에는 기밀성 요구 사항, 무결성 요구 사항, 가용성 요구 사항이 포함됩니다.

#### **일반 조정 항목**

<details>

<summary>부수적 피해 가능성 (CDP)</summary>

* **정의되지 않음 (CDP:ND):** 이 값을 메트릭에 지정해도 점수에 영향을 주지 않습니다. 이 값은 계산식에 해당 메트릭을 건너뛰라는 신호입니다.
* **없음 (CDP:N):** 인명, 물리적 자산, 생산성 또는 매출 손실 가능성이 없습니다.
* **낮음(경미한 손실) (CPD:L):** 이 취약점을 성공적으로 악용하면 경미한 신체적 피해나 재산 피해가 발생할 수 있습니다. 또는 조직의 매출이나 생산성이 소폭 저하될 수 있습니다.
* **낮음-중간 (CDP:LM):** 이 취약점을 성공적으로 악용하면 보통 수준의 신체적 피해나 재산 피해가 발생할 수 있습니다. 또는 조직의 매출이나 생산성이 보통 수준으로 저하될 수 있습니다.
* **중간-높음 (CDP:MH):** 이 취약점을 성공적으로 악용하면 상당한 신체적 피해나 재산 피해 또는 손실이 발생할 수 있습니다. 또는 매출이나 생산성이 상당히 저하될 수 있습니다.
* **높음(치명적 손실) (CDP:H):** 이 취약점을 성공적으로 악용하면 치명적인 신체적 피해나 재산 피해 및 손실이 발생할 수 있습니다. 또는 매출이나 생산성이 치명적인 수준으로 저하될 수 있습니다.

</details>

<details>

<summary>대상 분포 (TD)</summary>

* **정의되지 않음 (CDP:ND):** 이 값을 메트릭에 지정해도 점수에 영향을 주지 않습니다. 이 값은 계산식에 해당 메트릭을 건너뛰라는 신호입니다.
* **없음 \[0%] (TD:N):** 대상 시스템이 없거나 대상이 매우 특수하여 실험실 환경에만 존재합니다. 사실상 환경의 0%가 위험에 노출됩니다.
* **낮음 \[0-25%] (TD:L):** 환경 내에 대상이 존재하지만 규모가 작습니다. 전체 환경의 1%\~25%가 위험에 노출됩니다.
* **중간 \[26-75%] (TD:M):** 환경 내에 대상이 존재하며 규모는 중간 수준입니다. 전체 환경의 26%\~75%가 위험에 노출됩니다.
* **높음 \[76-100%] (TD:H):** 환경 내에 대상이 상당한 규모로 존재합니다. 전체 환경의 76%\~100%가 위험에 노출된 것으로 간주됩니다.

</details>

#### **영향 하위 점수 수정자**

<details>

<summary>기밀성 요구 사항 (CR)</summary>

* **정의되지 않음(CR:ND):** 이 값을 메트릭에 지정해도 점수에는 영향을 미치지 않습니다. 이 값은 해당 메트릭을 건너뛰도록 수식에 알리는 신호입니다.
* **낮음 (CR:L):** 기밀성 손실은 조직 또는 조직과 관련된 개인(예: 직원, 고객)에게 제한적인 악영향만 미칠 가능성이 높습니다.
* **중간(CR:M):** 기밀성 손실은 조직 또는 조직과 관련된 개인(예: 직원, 고객)에게 심각한 부정적 영향을 미칠 가능성이 높습니다.
* **높음(CR:H):** 기밀성이 손실되면 조직 또는 조직과 관련된 개인(예: 직원, 고객)에게 치명적인 악영향을 미칠 가능성이 높습니다.

</details>

<details>

<summary>무결성 요구사항(IR)</summary>

* **정의되지 않음(IR:ND):** 이 값을 메트릭에 지정해도 점수에는 영향을 미치지 않습니다. 이 값은 해당 메트릭을 건너뛰도록 수식에 알리는 신호입니다.
* **낮음(IR:L):** 무결성이 손실되면 조직 또는 조직과 관련된 개인(예: 직원, 고객)에게 제한적인 악영향만 미칠 가능성이 높습니다.
* **중간(IR:M):** 무결성 손실은 조직 또는 조직과 관련된 개인(예: 직원, 고객)에게 심각한 부정적 영향을 미칠 가능성이 높습니다.
* **높음(IR:H):** 무결성이 손실되면 조직 또는 조직과 관련된 개인(예: 직원, 고객)에게 치명적인 악영향을 미칠 가능성이 높습니다.

</details>

<details>

<summary>가용성 요구사항(AR)</summary>

* **정의되지 않음(AR:ND):** 이 값을 메트릭에 지정해도 점수에는 영향을 미치지 않습니다. 이 값은 해당 메트릭을 건너뛰도록 수식에 알리는 신호입니다.
* **낮음(AR:L):** 가용성 손실은 조직 또는 조직과 관련된 개인(예: 직원, 고객)에게 제한적인 부정적 영향만 미칠 가능성이 높습니다.
* **중간(AR:M):** 가용성 손실은 조직 또는 조직과 관련된 개인(예: 직원, 고객)에게 심각한 부정적 영향을 미칠 가능성이 높습니다.
* **높음(AR:H):** 가용성 손실은 조직 또는 조직과 관련된 개인(예: 직원, 고객)에게 치명적인 부정적 영향을 미칠 가능성이 높습니다.

</details>

\ <br>


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.medcrypt.com/ko/helm/manage-vulnerabilities/identify-and-prioritize-exploitable-vulnerabilities/understand-issue-severity-level/understand-the-cvss-vulnerability-scoring-system.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.