O que é CVSS?
O CVSS (Sistema comum de pontuação de vulnerabilidade) avalia o gravidade de uma vulnerabilidade em uma escala de 0 a 10. Mantido por FIRST, produz uma pontuação, uma classificação de gravidade e um “vetor” reproduzível. Ele mede o dano potencial – não a probabilidade de isso acontecer.
Um aviso diz “CVSS 9.8”. A administração pergunta se isso é pior do que o 8.1 da semana passada. A resposta honesta cabe em uma página e começa com a leitura do vetor em vez do número.
Duas imagens para torná-lo concreto
CVSS é o magnitude de um terremoto. Um terremoto de magnitude 8 libera enorme energia, seja atingindo uma megacidade ou um deserto desabitado. A magnitude descreve o evento, nunca suas consequências para você. Essa é exatamente a relação entre uma pontuação CVSS e seu sistema de informação.
CVSS também é o ficha técnica de um carro. Ele lista uma velocidade máxima de 250 km/h. Não diz nada sobre a velocidade com que você está dirigindo, se a estrada está molhada ou se outra pessoa está com as chaves. Duas imagens são melhores do que uma aqui: a primeira mostra que a partitura é intrínseca, a segunda que descreve uma potencial esse contexto pode nunca perceber.
Os cinco níveis de gravidade
A pontuação corresponde a um rótulo qualitativo, aquele que aparece nos avisos:
| Pontuação CVSS | Gravidade |
|---|---|
| 0.0 | Nenhum |
| 0,1 a 3,9 | Baixo |
| 4,0 a 6,9 | Médio |
| 7,0 a 8,9 | Alto |
| 9,0 a 10,0 | Crítico |
Esses limites se aplicam ao CVSS 3.xe 4.0. O antigo CVSS 2.0 tinha apenas três níveis e nenhum rótulo “crítico”: a mesma falha pode, portanto, carregar dois rótulos diferentes dependendo da versão usada para pontuá-la.
Lendo um vetor campo por campo
A pontuação não surge do nada: é calculada a partir de uma vetor, uma string que codifica oito decisões. Pegue aquele para Log4Shell (CVE-2021-44228):
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Lê-se da esquerda para a direita, como uma frase:
| Campo | Valor | O que isso significa |
|---|---|---|
AV - vetor de ataque | N (rede) | Explorável a partir da internet, sem acesso prévio à rede local. |
AC – complexidade do ataque | L (baixo) | Sem condições especiais: o ataque funciona sempre. |
RP - privilégios necessários | N (nenhum) | Nenhuma conta é necessária. |
IU - interação do usuário | N (nenhum) | Ninguém precisa clicar em nada. |
S - escopo | C (mudou) | O dano ultrapassa o componente vulnerável e atinge o que está atrás dele. |
C / I / A | H / H / H | Impacto total na confidencialidade, integridade e disponibilidade. |
Pontuação resultante: 10.0. Agora a parte que quase ninguém mostra - o que está mudando um único campo faz:
| Mudança | Nova pontuação | O que isso significa |
|---|---|---|
S:C → S:U (o dano permanece contido) | 9.8 | Este é o famoso “9.8” que você vê em todos os lugares: execução remota de código não autenticado, sem alteração de escopo. |
RP:N → PR: H (é necessária uma conta de administrador) | 9.1 | Exigir uma conta privilegiada reduz a superfície de ataque, mas custa apenas cerca de um ponto: o CVSS permanece severo quando os impactos são totais. |
AV:N → AV:L (acesso local necessário) | 9.3 | Ter que estar na máquina já muda tudo nos treinos… e quase nada no placar. |
Verifique você mesmo: cada um desses vetores pode ser recalculado no Calculadora CVSS 3.1. É o exercício de dez minutos que leva você de “Eu li um número” a “Eu entendo uma classificação”.
Base, ameaça, ambiental: três camadas
O CVSS possui três grupos de métricas e a grande maioria dos bancos de dados públicos publica apenas um.
- base: gravidade intrínseca, estável ao longo do tempo. É a pontuação que você vê 99% das vezes.
- Temporal / ameaça: ajusta a maturidade da exploração e se existe uma correção. Só pode inferior a pontuação básica.
- Ambiental: adapta a pontuação para seu contexto — criticidade dos ativos, controles de compensação, seus requisitos específicos de confidencialidade ou disponibilidade.
A consequência direta: a pontuação que você leu em uma assessoria nunca foi calculada para você. A camada ambiental, aquela que lhe diz respeito, é sua para preencher – e quase ninguém o faz.
Versões: 2.0, 3.0, 3.1 e 4.0
| Versão | O que isso muda | Onde você vê |
|---|---|---|
| 2.0 (2007) | Métricas mais grosseiras, sem nível “crítico”, impactos classificados como parciais/completos. | Arquivos e relatórios antigos de scanner. |
| 3.0 (2015) | Apresenta a métrica de escopo (Escopo) e privilégios necessários. | CVEs publicado entre 2016 e 2019. |
| 3.1 (2019) | Esclarece arredondamentos e documentação; fórmulas idênticas a 3.0. | A grande maioria dos NVD CVEs hoje. |
| 4.0 (2023) | Remove Escopo e o substitui por dois blocos de impacto: VC/VI/VA para o sistema vulnerável, SC/SI/SA para os sistemas por trás dele. Adiciona requisitos de ataque (AT). | Um número crescente de avisos de fornecedores. |
O que a mudança 4.0 significa na prática: uma falha de hipervisor que compromete as máquinas virtuais convidadas é finalmente avaliada pelo que realmente é, em vez de ser espremida em um único sinalizador de “escopo alterado”. Todas as quatro versões podem ser comparadas no calculadora.
Heartbleed 7.5, Log4Shell 10.0: o que a lacuna lhe diz
CVE-2014-0160 (Heartbleed) é classificado 7.5 no CVSS 3.1 — “alto”, não “crítico”. Seu vetor atribui impacto apenas à confidencialidade: a falha permite que um invasor leia a memória do servidor, sem modificar ou interromper nada. No papel, isso é menos sério que a execução de código.
Na realidade, expôs chaves privadas TLS em uma grande parte da web e desencadeou uma campanha mundial de substituição de certificados. CVE-2021-44228 (Log4Shell), classificado como 10,0, fez ainda mais barulho – mas a diferença de 2,5 pontos entre os dois não mede a diferença no impacto no mundo real. CVSS avalia um mecanismo, não uma consequência.
O erro mais demorado
O que isso significa para você, na prática
Uma regra de trabalho que cabe em quatro linhas, pronta para ser aplicada na segunda-feira:
- Nunca classifique por CVSS sozinho. Use-o para romper laços, não para definir a ordem.
- Para as falhas que afetam você, leia o vetor antes da pontuação:
AV:LouPR: Hem uma máquina sem acesso externo geralmente significa uma emergência a menos. - Preencha a camada ambiental para os seus dez ativos mais críticos — e não para os milhares de outros. É aí que o esforço compensa.
- Grave a versão ao lado de cada partitura. 7,0 em 2,0 e 7,0 em 4,0 não descrevem a mesma coisa.