solution

CVSS (Common Vulnerability Scoring System) v3.1 là hệ thống chấm điểm mức độ nghiêm trọng của lỗ hổng bảo mật, được dùng rộng rãi trong phân tích lỗ hổng (CVE). Hãy cài đặt công thức tính Base Score theo đúng đặc tả chính thức của FIRST.org, dựa trên 8 chỉ số (metric):

• AV (Attack Vector): $N=0.85,\ A=0.62,\ L=0.55,\ P=0.2$
• AC (Attack Complexity): $L=0.77,\ H=0.44$
• PR (Privileges Required), phụ thuộc S: nếu $S=U$ thì $N=0.85,\ L=0.62,\ H=0.27$; nếu $S=C$ thì $N=0.85,\ L=0.68,\ H=0.5$
• UI (User Interaction): $N=0.85,\ R=0.62$
• S (Scope): $U$ (Unchanged) hoặc $C$ (Changed)
• C, I, A (Confidentiality/Integrity/Availability Impact): $H=0.56,\ L=0.22,\ N=0$

Công thức:

$ISS = 1 - (1-C)(1-I)(1-A)$

Nếu $S=U$: $\text{Impact} = 6.42 \times ISS$. Nếu $S=C$: $\text{Impact} = 7.52 \times (ISS-0.029) - 3.25 \times (ISS-0.02)^{15}$.

$\text{Exploitability} = 8.22 \times AV \times AC \times PR \times UI$

Nếu $\text{Impact} \le 0$: $\text{BaseScore} = 0$. Nếu $S=U$: $\text{BaseScore} = \text{Roundup}(\min(\text{Impact}+\text{Exploitability},\ 10))$. Nếu $S=C$: $\text{BaseScore} = \text{Roundup}(\min(1.08 \times (\text{Impact}+\text{Exploitability}),\ 10))$.

Trong đó hàm Roundup(x) làm tròn lên tới 1 chữ số thập phân theo đúng thuật toán FIRST.org (tránh sai số dấu phẩy động):

def roundup(x):
    int_input = round(x * 100000)
    if int_input % 10000 == 0:
        return int_input / 100000.0
    else:
        return (int_input // 10000 + 1) / 10.0

Ví dụ: AV:N AC:L PR:N UI:N S:U C:H I:H A:H (lỗ hổng RCE không cần xác thực) cho Base Score $= 9.8$.