Mit Sammlungen den Überblick behalten
Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.
In diesem Dokument wird beschrieben, wie Sicherheitslücken bei der Artefaktanalyse bewertet und Schweregrade zugewiesen werden.
Die Artefaktanalyse bewertet die Schwere von Sicherheitslücken anhand der folgenden Stufen:
Kritisch
Hoch
Mittel
Niedrig
Die Schweregrade sind qualitative Kennzeichnungen, die Faktoren wie Ausnutzbarkeit, Umfang, Auswirkungen und Fortschritt der Sicherheitslücke widerspiegeln. Wenn ein Remote-Nutzer beispielsweise aufgrund einer Sicherheitslücke problemlos auf ein System zugreifen und beliebigen Code ohne Authentifizierung oder Nutzerinteraktion ausführen kann, würde diese Sicherheitslücke als Critical eingestuft.
Mit jeder Sicherheitslücke sind zwei weitere Arten von Schweregraden verbunden:
Effektiver Schweregrad – je nach Art der Sicherheitslücke:
Betriebssystempakete – der von der Linux-Distributionsverwaltung zugewiesene Schweregrad. Sind diese Schweregrade nicht verfügbar, verwendet die Artefaktanalyse den Schweregrad vom Hinweisgeber (NVD). Wenn die CVSS v2-Bewertung der NVD nicht verfügbar ist, wird in der Artefaktanalyse die CVSS v3-Bewertung der NVD verwendet.
Sprachpakete: Die Schweregradstufe, die von der GitHub Advisory Database zugewiesen wird, mit einer kleinen Abweichung: Mäßig wird als Mittel gemeldet.
CVSS-Punktzahl – die Punktzahl des Common Vulnerability Scoring Systems und der zugehörige Schweregrad. Es gibt zwei Bewertungsversionen:
CVSS 2.0: Verfügbar bei Verwendung der API, der Google Cloud CLI und der Benutzeroberfläche.
CVSS 3.1: Verfügbar bei Verwendung der API und der gcloud CLI.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-08-19 (UTC)."],[[["\u003cp\u003eArtifact Analysis evaluates and assigns severity levels to vulnerabilities based on factors like exploitability and impact.\u003c/p\u003e\n"],["\u003cp\u003eSeverity levels include Critical, High, Medium, and Low, providing a qualitative assessment of each vulnerability.\u003c/p\u003e\n"],["\u003cp\u003eEffective severity is determined by either the Linux distribution maintainer for OS packages or the GitHub Advisory Database for language packages, and it differs slightly from the severity levels.\u003c/p\u003e\n"],["\u003cp\u003eThe CVSS score, available in versions 2.0 and 3.1, provides a quantitative measure of vulnerability severity, complementing the qualitative severity levels.\u003c/p\u003e\n"]]],[],null,["# Severity levels in Artifact Analysis\n\nThis document describes how Artifact Analysis evaluates vulnerabilities and\nassigns severity levels.\n\nArtifact Analysis rates vulnerability severity using the following levels:\n\n- Critical\n- High\n- Medium\n- Low\n\nThese severity levels are qualitative labels that reflect factors such as\nexploitability, scope, impact, and maturity of the vulnerability. For example,\nif a vulnerability enables a remote user to access a system and run arbitrary\ncode without authentication or user interaction, that vulnerability\nwould be classified as `Critical`.\n\nTwo additional types of severity are associated with each vulnerability:\n\n- Effective severity - Depending on the vulnerability type:\n\n - OS packages - The severity level assigned by the Linux distribution maintainer. If these severity levels are unavailable, Artifact Analysis uses the severity value from the note provider, [(NVD)](https://nvd.nist.gov/vuln-metrics). If NVD's CVSS v2 rating is unavailable, Artifact Analysis uses the CVSS v3 rating from NVD.\n - Language packages - The [severity level](https://docs.github.com/en/graphql/reference/enums#securityadvisoryseverity) assigned by the GitHub Advisory Database, with a slight difference: *Moderate* is reported as *Medium*.\n- [CVSS score](https://www.first.org/cvss/v3.1/user-guide#Scoring-Guide) - The Common\n Vulnerability Scoring System score and associated severity level, with two\n scoring versions:\n\n - [CVSS 2.0](https://www.first.org/cvss/v2/guide) - Available when using the API, the Google Cloud CLI, and the GUI.\n - [CVSS 3.1](https://first.org/cvss/v3.1/user-guide) - Available when using the API and the gcloud CLI.\n\nWhat's next\n-----------\n\n- [Investigate vulnerabilities](/artifact-analysis/docs/investigate-vulnerabilities).\n- [Gate builds in your Cloud Build pipeline](/artifact-analysis/docs/ods-cloudbuild) based on vulnerability severity."]]
