Segurança da Informação · INSTITUTO AOCP · 2023 | Questão sqc-qa541443

CVSS v3.0: faixas de criticidade

Gabarito: letra C. No CVSS v3.0, uma vulnerabilidade com criticidade alta recebe pontuação entre 7.0 e 8.9 — é a faixa intermediária entre a média (4.0–6.9) e a crítica (9.0–10.0). A banca cobra exatamente a tabela oficial de qualificação qualitativa do CVSS, que traduz o score numérico em níveis (baixo, médio, alto e crítico).

O CVSS (Common Vulnerability Scoring System) é o padrão da indústria para medir a severidade de vulnerabilidades de software. Ele produz um score numérico de 0 a 10, calculado a partir de métricas de exploração (vetor de ataque, complexidade, privilégios necessários, interação do usuário) e de impacto (confidencialidade, integridade, disponibilidade). Esse número bruto, porém, é difícil de interpretar isoladamente — por isso o próprio padrão define faixas qualitativas que classificam o score em níveis de criticidade. É essa tabela de conversão que a questão pede.

A classificação oficial do CVSS v3.0 é a seguinte:

Faixa de score	Nível de criticidade
0.0	Nenhum (None)
0.1 – 3.9	Baixo (Low)
4.0 – 6.9	Médio (Medium)
7.0 – 8.9	Alto (High)
9.0 – 10.0	Crítico (Critical)

Repare que a faixa crítica vai de 9.0 até 10.0 — e não até 9.5 ou 9.6, como sugerem as alternativas D e E. O score máximo é 10.0, e qualquer valor entre 9.0 e 10.0 (inclusive) é considerado crítico. A faixa alta é a que fica entre 7.0 e 8.9, exatamente o que a alternativa C afirma.

A pegadinha clássica da banca aqui é inverter ou deslocar as faixas: colocar o "alto" em 5.0–6.9 (que na verdade é médio), ou restringir o "crítico" a 9.0–9.5 (quando vai até 10.0). O candidato que decora a tabela com precisão não cai nessas armadilhas. Guarde a sequência completa: 0.1–3.9 baixo, 4.0–6.9 médio, 7.0–8.9 alto, 9.0–10.0 crítico.

CVSS v3.0 (0 a 10): 0.0 (Nenhum); 0.1 – 3.9 (Baixo); 4.0 – 6.9 (Médio); 7.0 – 8.9 (Alto); 9.0 – 10.0 (Crítico)

Alternativa A — ❌ Incorreta

A faixa 4.0 a 4.9 corresponde ao nível médio (Medium), não ao alto. O erro está em deslocar o início da faixa média para baixo, como se o alto começasse em 4.0. Na verdade, o médio vai de 4.0 até 6.9.

Alternativa B — ❌ Incorreta

A faixa 5.0 a 6.9 também pertence ao nível médio (Medium). A banca tenta confundir o candidato fazendo o "alto" começar em 5.0, mas o correto é que o alto começa em 7.0. O médio, por sua vez, vai de 4.0 a 6.9.

Alternativa C — ✅ Correta ⟵ GABARITO

A faixa 7.0 a 8.9 é exatamente a definição oficial de criticidade alta (High) no CVSS v3.0. É a faixa intermediária entre o médio (4.0–6.9) e o crítico (9.0–10.0).

Alternativa D — ❌ Incorreta

A faixa 9.0 a 9.5 é apenas uma parte do nível crítico (Critical), que na verdade vai de 9.0 até 10.0. A alternativa erra ao limitar o crítico a 9.5, excluindo os scores 9.6 a 10.0, que também são críticos.

Alternativa E — ❌ Incorreta

A faixa 9.6 a 100 é duplamente errada. Primeiro, o score máximo do CVSS é 10.0, não 100 — o limite superior está completamente equivocado. Segundo, mesmo que fosse até 10.0, a faixa correta do crítico é 9.0–10.0, não 9.6–10.0. A banca inventa um limite absurdo (100) para testar se o candidato conhece a escala real de 0 a 10.

NÃO CAIA NESSA!

A banca explora a confusão entre as faixas do CVSS. As alternativas A e B deslocam o "alto" para baixo (4.0–4.9 e 5.0–6.9, que são médio), enquanto D e E mutilam o "crítico" (9.0–9.5 e 9.6–100, quando o correto é 9.0–10.0). Decore a tabela completa: 0.1–3.9 baixo, 4.0–6.9 médio, 7.0–8.9 alto, 9.0–10.0 crítico — e lembre que o score máximo é 10.0, nunca 100.

Gabarito: letra C