Sinn und Unsinn von CVSS, SSVC, EPSS und Co

Der Podcast macht mal wieder eine Episode zu einem einzelnen Thema
in aller Tiefe und zwar zu Schwachstellen-Scores. Damit werden
Sicherheitslücken klassifiziert, am bekanntesten ist das Common
Vulnerability Scoring System (CVSS). Allerdings gibt es das CVSS in
mehreren Versionen, wovon mindestens zwei praktisch relevant sind,
und mit EPSS, SSVC, CWE und CPE kommen noch diverse ergänzende
Klassifikationssysteme hinzu. Die Hosts beschreiben, wie die
Systeme funktionieren, was sie leisten können, was sie nicht
leisten können und als was sie mitunter missverstanden werden.