Passwort - der Podcast von heise security Sinn und Unsinn von CVSS, SSVC, EPSS und Co
Jun 24, 2026
Tiefgehende Diskussion über Schwachstellen-Scores wie CVSS, ihre Metriken und die Neuerungen in CVSS 4.0. Vergleich mit ergänzenden Systemen wie SSVC, EPSS, CWE und CPE. Praktische Beispiele zur Priorisierung von Patches und kritische Reflexion über Grenzen, Fehlinterpretationen und zunehmende Komplexität von Bewertungsverfahren.
AI Snips
Chapters
Transcript
Episode notes
YellowKey Angriff Mit Rückgabe Und PIN Interaktion
- Nightmare-Eclipse YellowKey erforderte laut Bericht physische Rückgabe: Angreifer platzierte Dateien in der Recovery-Partition und wartete auf PIN-Eingabe des Opfers.
- Sylvester Tremmel schildert den Ablauf: Exe erzeugt Transaktion, Opfer bootet RE wiederholt, Platte blieb entsperrt und Dateien wurden überschrieben.
CVSS Ist Nur Ein Basiswert Auf Der Grünen Wiese
- CVSS ist ein synthetischer Basiswert auf der grünen Wiese und sagt nicht, wie wahrscheinlich eine Lücke real ausgenutzt wird.
- Christopher Kunz erklärt, CVSS modelliert Worst-Case ohne Organisationsschutz und muss für reale Priorisierung angepasst werden.
SSVC Macht Handlungsempfehlungen Aus Exploit Daten
- SSVC ist ein Entscheidungsbaum, der aus Exploitation, Automatisierbarkeit und technischem Impact konkrete Handlungsempfehlungen ableitet.
- Christopher Kunz zeigt, SSVC liefert Act/Attend/Track-Empfehlungen und wird von CISA in Binding Directive genutzt.