データを削除する機能は、CVSS v2の可用性に影響しますか？
NIST SP 800- 2.0.1は、CIAトライアドの「可用性」部分が意図的または偶発的な次のいずれかの試みから保護することを示しています。
- データの不正削除を実行する、または
- それ以外の場合は、サービスまたはデータの拒否を引き起こします
これにより、データを削除する機能が、一般的なセキュリティの観点から実際に可用性を変更することは明らかです。ただし、 CVSS v2仕様 は次のように述べています。
このメトリックは、悪用に成功した脆弱性の可用性への影響を測定します。可用性とは、情報リソースのアクセシビリティを指します。ネットワーク帯域幅、プロセッササイクル、またはディスクスペースを消費する攻撃はすべて、システムの可用性に影響を与えます。
提供されているすべての例では、データの可用性ではなく、サービスの可用性について説明しています。 CVSS v は、次のように明示的に示すことでこれをクリアします。
...つまり、可用性メトリックは、データの可用性ではなく、サービス自体のパフォーマンスと操作を示します。
CVSS v2でデータを削除する機能を提供する脆弱性をスコアリングする場合、可用性に影響を与えるものとしてスコアリングしますか？この説明をv2にバックポートできると想定しても安全ですか？
これは非常に興味深い質問であり、私が自分自身と苦労している側面です。たとえば、「新しいユーザーを作成できる方法で整合性が侵害された場合、他の2つのプロパティに影響しますか」。
答えは多分、リンクされていることが多いときに3つのプロパティを持つことは少し直感に反する場合でも、だと思います。
あなたの場合、 CVSS 3.1ユーザーガイドに記載されています ルートパスワードの機密性の喪失は、システムの整合性と可用性に影響を与えます（アナリストが資格情報が実際に悪用される可能性があると想定している限り） ）。
脆弱性2では、ローカルの低特権ユーザーがオペレーティングシステムに些細な細工された要求を送信して、root（管理者）アカウントのプレーンテキストのパスワードを開示させる可能性があります。アナリストは、悪用可能性サブスコアメトリックと脆弱性の説明から、攻撃者がオペレーティングシステムにアクセスできることを知っており、ローカルの低特権攻撃者としてログインできます。このパスワードにアクセスできることは、アナリストがコマンドを次のように合理的に発行できるため、機密性、整合性および可用性が直接深刻に失われることを意味します。ルート/管理者アカウント（攻撃者が自分のアカウントからログアウトし、ルートとして再度ログインできると想定）：基本スコア：7.8 CVSS：3.0/AV：L/AC：L/PR：L/UI：N/S ：U/C：H/I：H/A：H
この例では、コマンドの発行について説明しています（これがシャットダウンコマンドに限定されているのか、データ削除コマンドに限定されているのかは明確ではありません。影響を判断するときに描画する線になる可能性があります。データファイルを削除できる場合は、整合性が侵害されます。システムファイルを削除すると、可用性が影響を受けます）。はい、これは従来の（NIST、GDPR）可用性の定義に違反していますが、CVSSはこの点で合理的に特定されているようです。