一、综述
弱点（vulnerabilities）是网络安全中的一个重要因素，在多种安全产品（如漏洞扫描、入侵检测、防病毒、补丁管理等）中涉及到对弱点及其可能造成的影响的评价。但目前业界并没有通用统一的评价体系标准。通用弱点评价体系（CVSS）是由NIAC开发、FIRST维护的一个开放并且能够被产品厂商免费采用的标准。利用该标准，可以对弱点进行评分，进而帮助我们判断修复不同弱点的优先等级。
二、通用弱点评价体系（CVSS）
2.1 CVSS的要素
通过下图可以看出通用弱点评价体系（CVSS）包含的要素及它们之间的相互关系：
通用弱点评价体系（CVSS）的所有要素及其取值范围如下表所示：
有些需要说明的要素如下：
1、如果漏洞既可远程利用，又可以本地利用，取值应该为远程利用的分值。
2、攻击复杂度的分值由原先的低/高变为低/中/高，参见：http://www.first.org/cvss/draft/accepted/060103.html
3、需要认证的例子，如需要预先有Email、FTP帐号等。
有些有用的参考资源如下：
CVSS评分计算器：http://nvd.nist.gov/cvss.cfm?calculator
CVSS的最近更新：http://www.first.org/cvss/draft/
一些文档及胶片：http://www.first.org/cvss/links.html
2.2 CVSS评分方法
2.2.1 基本评价
基本评价指的是该漏洞本身固有的一些特点及这些特点可能造成的影响的评价分值，该分值取值如下：
AccessVector = case AccessVector of
local: 0.7
remote: 1.0
AccessComplexity = case AccessComplexity of
high: 0.6
medium: 0.8
low: 1.0
Authentication = case Authentication of
required: 0.6
not-required: 1.0
ConfImpact = case ConfidentialityImpact of
none: 0
partial: 0.7
complete: 1.0
ConfImpactBias = case ImpactBias of
normal: 0.333
confidentiality: 0.5