Calculadora CVSS 4.0
A versão mais recente separa o impacto no componente vulnerável do impacto no que está por trás dele. Construa o vetor e veja o que essa separação muda.
O que o 4.0 muda, campo por campo
O CVSS 4.0 foi publicado por FIRST.org em novembro de 2023 em resposta a uma reclamação recorrente: no 3.1, metade de todos os CVEs agrupados em um punhado de pontuações, e a classificação dizia pouco sobre o impacto real. Quatro mudanças carregam a maior parte do peso.
| CVSS 3.1 | CVSS 4.0 | Por que |
|---|---|---|
| Escopo (S) | VC/VI/VA + SC/SI/SA | Em vez de sim/não, o que acontece com o componente vulnerável e o que acontece por trás dele são pontuados separadamente. |
| Complexidade de Ataque (AC) | AC + AT | O que o invasor contorna (AC) é separado do que ele deve esperar ou suportar (AT, Requisitos de Ataque). |
| Interação do usuário (IU:N/R) | IU:N/P/A | Um clique deliberado e uma navegação normal não custam o mesmo esforço ao invasor. |
| Explorar a maturidade (E) | E:A/P/U | Três estados claros: ataques observados, prova de conceito publicada, nada relatado. |
A calculadora acima oferece quatro casos pré-carregados. A mais reveladora é a “fuga do hipervisor”: uma falha local, normal no 3.1, que atinge as máquinas virtuais convidadas. Carregue-o e mude os três impactos subsequentes do sistema para Nenhum para ver a diferença que 4.0 pode expressar e que 3.1 foi reduzida a um único bit.
O que o número significa
As faixas de gravidade são as mesmas do 3.1, o que mantém uma confusão constante: 8,6 em 4,0 e 8,6 em 3,1 não descrevem a mesma coisa, mas carregam o mesmo rótulo.
| Pontuação | Gravidade | O que isso significa na prática |
|---|---|---|
| 9.0 – 10.0 | Crítico | Compromisso total, muitas vezes sem conta e sem clique. Uma exploração bem-sucedida não deixa nada em pé. |
| 7.0 – 8.9 | Alto | Forte impacto, mas falta uma condição: uma conta, um clique, acesso local. |
| 4.0 – 6.9 | Médio | Impacto parcial ou diversas condições devem ser atendidas. |
| 0.1 – 3.9 | Baixo | Vazamento menor, negação de serviço limitada ou exploração fortemente restrita. |
| 0.0 | Nenhum | Nenhum impacto relatado na confidencialidade, integridade ou disponibilidade. |
Base, ameaça, ambiental: a nova nomenclatura
4.0 renomeia as camadas para quebrar um mau hábito: publicar uma pontuação base e chamá-la de “a” pontuação. Os nomes agora são CVSS-B (somente base), CVSS-BT (base e ameaça), CVSS-BE (base e ambiental) e CVSS-BTE (tudo). O nome diz o que realmente foi preenchido.
O grupo temporal torna-se o ameaça grupo e se reduz a uma única métrica, maturidade da exploração: o nível de remediação e a confiança do relatório desapareceram, nunca tendo sido preenchidos seriamente.
O que isso significa para você, na prática
Três hábitos que evitam os erros mais comuns:
- Mantenha a versão original em seu rastreamento. O prefixo
CVSS:4.0/faz parte do vetor: sem ele ninguém saberá qual escala você está citando. - Preencha a maturidade da exploração quando você sabe disso. É o único campo do grupo de ameaças, e o que mais aproxima o placar do que acontece em campo.
- Ainda não priorize apenas esse número. 4.0 descreve melhor o impacto, mas ainda não prevê a exploração. Verificação cruzada com EPSS e KEV: esse é o trabalho de Monitoramento CVE direcionado à sua propriedade.
Fontes
- Especificação CVSS 4.0 -FIRST.org.
- Calculadora de referência 4.0 - para verificar uma pontuação.
Perguntas frequentes
Você deve mudar para o CVSS 4.0 agora?
Use a versão que sua fonte publica. O NVD e a maioria dos CNAs (Autoridades de numeração CVE, as organizações que atribuem identificadores CVE) ainda publicam 3.1; alguns fornecedores publicam ambos. Recalcular em 4.0 um vetor dado em 3.1 produz um número comparável a nada: as duas escalas não são convertidas.
O que substitui o Escopo 3.1?
Seis métricas de impacto em vez de três. VC, VI e VA descrevem o que acontece com o componente vulnerável; SC, SI e SA descrevem o que acontece com os sistemas por trás disso. Onde 3.1 dizia apenas “transborda”, 4.0 diz em quanto e em quê.
Qual é a diferença entre complexidade e requisitos de ataque?
A complexidade mede o que o invasor deve contornar ativamente: uma proteção de memória, uma verificação de assinatura. Os requisitos de ataque medem o que eles devem esperar ou suportar: uma corrida entre dois processos, uma carga específica, uma posição na rede. 3.1 agrupou os dois em um único campo.
O que exatamente esta calculadora cobre?
O vetor base, a maturidade da exploração e os três requisitos de segurança (CR, IR, AR), calculados com a tabela de macrovetores oficial do FIRST.org. Métricas ambientais modificadas (MAV, MSI:S…) e métricas suplementares (Automatizáveis, Recuperação, Segurança) ainda não são suportadas: preferimos dizer isso do que deixar você descobrir.
Plano Free, sem cartão
Obtenha apenas o CVEs que afeta seu imóvel.
Declare seus componentes uma vez. Alertamos assim que alguma falha afetar um deles, já priorizado por KEV e EPSS, no canal de sua preferência. O primeiro alerta sai na próxima sincronização.
- Free, sem cartão de crédito
- Construído e hospedado na França
- Exporte seus dados a qualquer momento