Nella CVSS versione 3, ci sono quattro diversi vettori di attacco. Non sono in grado di distinguere tra locale e fisico.
Di ', se voglio segnalare "assenza del pulsante di logout" userò il fisico come vettore di accesso. In quali casi posso utilizzare il locale come vettore di accesso? Si prega di provare a fare riferimento alle vulnerabilità basate su applicazioni Web.
Un problema di "assenza del pulsante di disconnessione" non è assolutamente un vettore fisico. Fisico significa che hai accesso fisico diretto al server, come se ti trovassi proprio di fronte ad esso. Uno più appropriato per "fisico" sarebbe la mancanza della crittografia a disco intero, poiché l'accesso fisico nel contesto del furto del server si tradurrebbe in un attaccante che si impadronisce dei dati sul disco.
Locale significa che hai una sessione di accesso al sistema. Un esempio di tale problema potrebbe essere un binario di servizio con autorizzazioni di file scadenti, che consente l'escalation dei privilegi locali.
Adiacente significa che ti trovi sullo stesso segmento di rete del server, che è applicabile per attacchi come lo spoofing ARP, in cui devi essere nella stessa sottorete.
Remoto, come suggerisce il nome, è un caso in cui ci si trova su una rete remota.
Devi tenere presente che i vettori CVSS sono per lo più non adattati alle applicazioni web; la maggior parte se non tutti i tuoi problemi dovrebbero essere contrassegnati come vettore remoto.
Leggi altre domande sui tag physical vulnerability attack-vector cvss