Perché il logjam è classificato come "Nessuno" per l'impatto della riservatezza nel CVSS?

Question

Perché il logjam è classificato come "Nessuno" per l'impatto della riservatezza nel CVSS?

#1 da (3 voti)

4

Il CVSS punteggio per Logjam è (AV: N / AC: M / Au: N / C: N / I: P / A:. N)

Comenotatoinquellabellainterpretazionedell'immaginedinamica,lametricaImpatto"Riservatezza" è descritta come "Nessuna" ( C: N ).

Ma la descrizione di Logjam rileva " c'è un avversario di rete passivo in grado di origliare " per Attacco 1 e ha un video che mostra il testo in chiaro di un post su un sito dell'FBI. Sicuramente merita almeno un parziale impatto di confidenzialità C / P) .

E naturalmente se questo o gli attacchi di impersonificazione possono essere utilizzati contro l'utente giusto, è anche possibile ottenere il pieno accesso alle informazioni sulla riservatezza, integrità e disponibilità del server. Ma immagino che non contino quegli attacchi successivi.

tls cvss

posta nealmcb 30.06.2015 - 21:35

fonte

1 risposta

Leggi altre domande sui tag tls cvss

I metodi magici PHP sono davvero necessari per l'iniezione di oggetti PHP? ip xfrm limite in iproute2 per ipsec

score 3 · Answer 1

Non posso dirti come è nato NVD, chiamiamolo valutazione di base. Ma posso dirti che non tutti i venditori hanno seguito quella valutazione di base.

Sondaggio valutazioni

(AV: N / AC: M / Au: N / C: N / I: P / A: N), 4.3, NVD
- E se lo cambi manualmente (AV: N / AC: M / Au: N / C: P / I: P / A: N), allora ottieni Overall CVSS Score 5.8 .
(AV: N / AC: M / Au: N / C: N / I: P / A: N), 4.3, Juniper . Come NVD.
(AV: N / AC: M / Au: N / C: P / I: N / A: N), 4.3, Polycom . C: P / I: N invece.
(AV: N / AC: M / Au: N / C: P / I: N / A: N), 4.3, IBM . C: P / I: N invece.
(AV: N / AC: M / Au: N / C: P / I: N / A: N), 4.3, RedHat . C: P / I: N invece.
(AV: N / AC: H / Au: N / C: P / I: P / A: P), 5.1, SCIP VulDB . C: P invece.

Non capisco neanche la linea di base.

FIRST.org fornisce alcuni esempi CVSS su come si suppone che i giocatori ottengano un punteggio. Suppongo che per questi esempi siano stati prudentemente valutati correttamente.

Vengono valutati usando sia CVSS v2 che CVSS v3.

E elencano due vulnerabilità SSL / TLS. Numero 3, che è POODLE. E il numero 20, che è una vulnerabilità di ChangeChiperSpec. Entrambi segnano "C: P (parziale)" in CVSS v2.

Seguendo questi esempi segnerei Logjam anche come C: P. NVD non ha. Non so perché.

Modifica cronologia

Per la lunga e contorta evoluzione di questo post, consulta la modifica della cronologia .