Was ist eine CVE und was bedeutet ein CVSS-Score von 10.0 wirklich?

Immer wenn du npm audit ausführst, eine GitHub-Dependabot-Warnung prüfst oder ein Security Advisory liest, begegnen dir zwei standardisierte Abkürzungen: CVE (z. B. CVE-2026-110264) und CVSS (z. B. Score: 9.8 Critical).

Für viele Entwickler wirken sie wie bürokratische Seriennummern. In Wirklichkeit bilden sie die universelle Sprache, die verhindert, dass die weltweite Internet-Infrastruktur im Chaos versinkt. Schauen wir uns an, wie CVEs vergeben und CVSS-Scores mathematisch berechnet werden.

1. Was ist eine CVE (Common Vulnerabilities and Exposures)?

CVE wurde 1999 von der MITRE Corporation ins Leben gerufen und ist ein weltweites Verzeichnis öffentlich bekannt gewordener Sicherheitslücken.

Bevor es CVE gab, hätten fünf verschiedene Sicherheitsanbieter einem Speicherfehler in OpenSSL fünf verschiedene interne Namen gegeben. Systemadministratoren konnten dadurch nicht erkennen, ob sie denselben Fehler patchen.

Heute erhält jede verifizierte Schwachstelle eine einzige, weltweit eindeutige Kennung im Format CVE-YYYY-NNNNN:

• YYYY: Das Jahr, in dem die Schwachstelle vergeben bzw. veröffentlicht wurde.
• NNNNN: Eine eindeutige fortlaufende Nummer, die von einer CNA (CVE Numbering Authority) wie GitHub, Google, Red Hat oder Microsoft vergeben wird.

2. Was ist CVSS (Common Vulnerability Scoring System)?

Während eine CVE einem Fehler seinen Namen gibt, misst CVSS seinen Schweregrad auf einer Skala von 0.0 bis 10.0.

3. Anatomie eines 10.0-Scores: Die 5 Bedingungen für die vollständige Übernahme

Eine Schwachstelle bekommt keinen Score von 9.8 oder 10.0, weil sich jemand dramatisch fühlt. Er wird aus einem Vektorstring berechnet, zum Beispiel:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Damit eine Lücke 9.8 oder 10.0 erreicht, müssen fünf Albtraum-Bedingungen gleichzeitig zusammentreffen:

1. Attack Vector = Network (AV:N): Ausnutzbar aus der Ferne über das öffentliche Internet.
2. Attack Complexity = Low (AC:L): Deterministischer Exploit; kein kompliziertes Timing und kein glückliches Heap-Layout nötig.
3. Privileges Required = None (PR:N): Der Angreifer braucht KEIN Benutzerkonto, kein Passwort und kein API-Token.
4. User Interaction = None (UI:N): Kein Phishing nötig; niemand muss auf einen Link klicken.
5. Impact = High (C:H/I:H/A:H) + Scope Changed (S:C): Vollständiger Verlust von Vertraulichkeit (alle Secrets lesbar), Integrität (beliebige Dateien/Code änderbar) und Verfügbarkeit (Server abstürzen lassen), wobei die verwundbare Komponente verlassen wird und der Angreifer ins Host-Betriebssystem oder in den Container gelangt!