Uma classificação High nem sempre conta a história inteira. Entenda como CVSS, EPSS e outras informações ajudam a analisar vulnerabilidades com mais contexto.
Product Designer
Arley Gomes
Imagine que, durante uma análise de vulnerabilidades, você encontre duas CVEs classificadas como High, ambas com CVSS 7.5.
Em uma lista com dezenas ou centenas de vulnerabilidades, é natural pensar que as duas merecem a mesma atenção. Afinal, possuem a mesma pontuação e classificação de severidade.
Mas e se uma delas apresentar uma probabilidade de exploração muito maior que a outra? Será que ambas deveriam receber a mesma prioridade?
A resposta é: não necessariamente. E é justamente aqui que a análise começa a ficar mais interessante.
Como lidamos com isso no Quor?
Aqui na Getup, lidar com vulnerabilidades faz parte da nossa rotina. Nosso time trabalha diariamente na identificação, análise e correção de CVEs presentes nas imagens. Uma das decisões mais importantes nesse processo é entender o que precisa de atenção primeiro.
E não, isso não significa simplesmente começar por todas as vulnerabilidades classificadas como Critical ou High.
Para orientar essa decisão, consideramos diferentes indicadores que ajudam a entender a gravidade técnica, a probabilidade de exploração e o impacto potencial de cada vulnerabilidade. Com essas informações, conseguimos estabelecer critérios de priorização mais claros, sem depender exclusivamente da classificação apresentada pelo scanner.
Afinal, se duas CVEs possuem a mesma severidade, o que nos ajuda a decidir qual delas investigar primeiro?
O que existe além da pontuação CVSS?
Para entender melhor uma vulnerabilidade, precisamos olhar para outros indicadores que complementam sua classificação.
Um deles é o EPSS (Exploit Prediction Scoring System), que estima a probabilidade de uma CVE publicada ser explorada no mundo real nos próximos 30 dias.
Diferentemente do CVSS, que descreve características técnicas da vulnerabilidade, o EPSS utiliza dados e modelos estatísticos para estimar a possibilidade de exploração.
Outra informação importante é o CVSS Vector, que detalha os critérios utilizados na avaliação da severidade.
Por exemplo, é possível identificar se uma falha pode ser explorada pela rede, se exige privilégios ou se depende de alguma interação do usuário.
Esses indicadores não substituem a análise do ambiente, mas ajudam a transformar uma pontuação isolada em informações mais úteis para a investigação.
Duas CVEs High, mas com cenários diferentes
Vamos voltar às duas vulnerabilidades do início.
Imagine que ambas tenham CVSS 7.5, mas apresentem os seguintes indicadores:
Indicador | CVE A | CVE B |
Severidade | High | High |
CVSS Base | 7.5 | 7.5 |
EPSS | 0,004% | 28,4% |
Vetor de ataque | Network | Network |
Privilégios necessários | None | None |
As duas apresentam a mesma severidade e algumas características técnicas semelhantes. Entretanto, a probabilidade estimada de exploração da segunda é significativamente maior.
Isso significa que a CVE B deve obrigatoriamente ser corrigida primeiro? Não.
Mas é um sinal importante para a investigação, especialmente se ela estiver presente em um componente exposto ou crítico para a operação.
É por isso que olhar apenas para o número apresentado pelo scanner pode deixar informações relevantes de fora.
E onde está a vulnerabilidade?
Até aqui, falamos sobre as características e a probabilidade de exploração. Mas ainda existe outra pergunta importante: qual componente da imagem está associado à CVE?
Saber que uma imagem possui uma vulnerabilidade High é diferente de identificar o pacote afetado, sua localização e sua versão.
Informações como o PURL (Package URL) ajudam a identificar o componente de maneira padronizada, facilitando a rastreabilidade e a investigação.
E esse contexto faz diferença. A presença de um pacote vulnerável não significa automaticamente que a aplicação executa o código afetado ou que a falha pode ser explorada nas condições daquele ambiente.
A análise precisa considerar tanto a vulnerabilidade quanto o cenário em que ela está presente.
Como analisar essas informações no Quor
É justamente para dar mais contexto a esse tipo de investigação que o Quor, quando há vulnerabilidades nas imagens, disponibiliza informações mais detalhadas e profundas.
Ao consultar os detalhes de uma CVE, é possível encontrar três conjuntos importantes de informações.
1. Score Metrics
Além da pontuação CVSS, essa área apresenta indicadores como Impact Score, Exploitability Score, EPSS e EPSS Percentile.
Esses dados ajudam a entender diferentes características da vulnerabilidade. O percentil EPSS, por exemplo, permite comparar sua posição em relação às demais CVEs avaliadas pelo modelo, enquanto o EPSS Score apresenta a probabilidade estimada de exploração.
Newsletter Getup.
Atualizações sobre Kubernetes e Software Supply Chain Security todos os meses.
2. CVSS Vector
Aqui é possível entender melhor quais critérios são utilizados para chegar à classificação de severidade de uma vulnerabilidade.
O Quor apresenta informações como Attack Vector, Attack Complexity, Privileges Required e User Interaction, além dos impactos potenciais sobre confidencialidade, integridade e disponibilidade.
Por exemplo, uma vulnerabilidade com Attack Vector classificado como Network (N) pode ser explorada remotamente, através da rede, sem que o atacante precise ter acesso físico ao dispositivo. Já uma vulnerabilidade classificada como Physical (P) exige que o atacante tenha contato físico com o dispositivo para realizar a exploração.
Essa diferença importa porque, no cálculo do CVSS, uma vulnerabilidade explorável pela rede recebe um peso maior nesse critério do que uma que exige acesso físico, já que as condições necessárias para realizar o ataque são diferentes.
Em vez de olhar apenas para um CVSS 7.5, o time consegue entender como cada uma dessas características contribuiu para a pontuação final.
3. Affected Package
Por último, temos as informações sobre o pacote associado à vulnerabilidade.
Dados como tipo, localização e PURL ajudam a identificar onde o componente está presente na imagem, oferecendo um ponto de partida mais preciso para a investigação.
Essas informações, quando analisadas em conjunto, ajudam o time a entender melhor o que existe por trás de cada CVE.
O que isso muda na prática?
Em ambientes com dezenas ou centenas de vulnerabilidades, investigar tudo com a mesma urgência pode consumir muito tempo dos times de segurança e plataforma.
A questão não é ignorar vulnerabilidades com pontuações menores ou EPSS baixo, mas compreender quais informações devem orientar uma investigação mais aprofundada.
Duas CVEs podem ter exatamente a mesma severidade e, ainda assim, apresentar características e probabilidades de exploração bastante diferentes.
Entender essas diferenças é o que permite sair de uma simples lista de vulnerabilidades para uma análise mais contextualizada.
Explore os detalhes das vulnerabilidades no Quor
Se você já utiliza o Quor, acesse os detalhes de uma imagem e consulte as informações das vulnerabilidades identificadas.
Antes de olhar apenas para a classificação High ou Critical, vale explorar os indicadores disponíveis. Às vezes, as informações mais importantes para a investigação estão justamente nos detalhes que passam despercebidos.
Operating Kubernetes in production for more than 13 years. With Quor, this experience extends to software supply chain security as well.
GET UP
© Getup · 2026
