Pontuação de CVE, CWE e CVSS

CVE (Vulnerabilidades e Exposições Comuns) é um identificador padronizado para vulnerabilidades conhecidas publicamente. Cada CVE tem um ID exclusivo, por exemplo, CVE-2021-44228, uma descrição e referências a correções e comunicados.

Os IDs de CVE seguem o formato CVE-YEAR-NUMBER. A parte numérica não tem zeros à esquerda e pode conter quatro ou mais dígitos. O MITRE atribui os IDs de CVE; o NVD os complementa com pontuações de gravidade.

CWE (Enumeração de Pontos Fracos Comuns) classifica o tipo de fragilidade que está na causa raiz, não a ocorrência específica. Os CVEs são associados a CWEs — compreender o tipo de fragilidade ajuda a escrever código seguro e a prevenir classes inteiras de vulnerabilidades.

O CVSS (Sistema Comum de Pontuação de Vulnerabilidades) fornece uma pontuação numérica de 0,0 a 10,0 que representa a gravidade. O CVSS v3.1 é o padrão atual e inclui uma pontuação base, uma pontuação temporal e uma pontuação ambiental.

As métricas de explorabilidade medem a facilidade com que uma vulnerabilidade pode ser atacada: vetor de ataque (rede, adjacente, local ou físico), complexidade do ataque, privilégios necessários e interação do usuário.

As métricas de impacto medem a consequência de uma exploração bem-sucedida: impacto na confidencialidade, na integridade e na disponibilidade — cada um classificado como Nenhum, Baixo ou Alto.

O vetor completo do CVSS codifica todas as métricas em uma cadeia compacta. Ferramentas como a calculadora de CVSS do NVD permitem decodificar e ajustar as pontuações para o seu ambiente.

O National Vulnerability Database (nvd.nist.gov) é a fonte de referência. Pesquise por ID de CVE, fornecedor, produto ou CWE. Bases de dados de Exploit (exploit-db.com) associam CVEs a explorações funcionais.

O EPSS (Sistema de Pontuação de Previsão de Exploração) prevê a probabilidade de um CVE ser explorado no ambiente real nos próximos 30 dias. CVSS alto + EPSS alto = aplicar a correção imediatamente.

Nem todos os CVEs críticos são igualmente perigosos para o seu ambiente. Priorize com base nestas perguntas: o programa vulnerável está em execução? O vetor de ataque é relevante? Existe uma exploração pública? Qual é o impacto para o negócio?

Pesquisadores descobrem falhas e as relatam, muitas vezes em caráter privado; os fornecedores lançam correções; e os CVEs são publicados. O intervalo entre o lançamento da correção e a exploração costuma ser de poucos dias — a velocidade do gerenciamento de correções é importante.

Qual faixa de pontuação do CVSS é considerada Crítica?

Os CVEs identificam vulnerabilidades específicas; as CWEs classificam o tipo de fragilidade na causa raiz; e o CVSS pontua a gravidade. Juntos, eles formam a linguagem do gerenciamento de vulnerabilidades. Concentre-se nos CVEs com pontuações altas de CVSS, alta probabilidade no EPSS e presença confirmada no seu ambiente.