無許可の削除は整合性または可用性の問題ですか？
Webアプリケーションのテスト中に、他のユーザーが残したコメントをユーザーが削除できるパラメーター改ざんの問題を発見しました。他のユーザーのコメントの内容を変更することはできず、意図的に行われた場合にのみ表示できます。
この計算機 を使用してCVSSスコアを計算しています。機密性への影響がまったくないことは明らかですが、その他についてははっきりしません。
だから私の質問は：CVSSv3の目的で、不正な削除は整合性の問題、または可用性の問題（またはその両方）ですか？
この（未回答の）質問 で指摘されているように、 CVSSv3での可用性 は、データが利用可能かどうかではなく、Webサービスのパフォーマンスに関するものです。
機密性と整合性の影響の測定基準は、影響を受けるコンポーネントが使用するデータ（情報、ファイルなど）の機密性または整合性の損失に適用されますが、この測定基準は、ネットワークサービスなどの影響を受けるコンポーネント自体の可用性の損失（例：ウェブ、データベース、メール）。
あなたの質問に答えるには、ここでは整合性のみが関係します。
攻撃者がその特定のリソースを完全に削除し、他のユーザーがアクセスできないようにすることができるため、明らかな可用性の問題を示していると思います。
整合性の問題もあると思います。計算機は整合性の低いスコアを「データの変更が可能」であると定義しています。
あなたの質問に答えるには：両方。スコアの付け方は、それらのコメントがアプリケーションにとってどれほど重要かによって異なります。
誠実さ
削除後、結果のデータセットは、そのようなコメントが残っていないことを表明します。その主張は誤りです。
それはあなたのサービスが適切なバックアップ手順を持っているかどうかに依存します。バックアップ手順で、データの損失につながる可能性のあるバグやユーザーエラーを考慮に入れ、ユーザーがこのデータを復元するようリクエストを送信した場合、または脆弱性を発見し、不適切に削除されたすべてのコメントが引き続き利用可能であると主張できる場合バックアップでは、DBAが復元するまでデータが一時的に利用できなくなるだけなので、これはavailabilityの問題であると主張できます。たとえば、誤ってすべてのコメントを非公開にすることと大差ありません。
レコードが永久に失われた場合のみ、それはプレーンでシンプルなデータintegrity問題になります。
さらに、一部のメタデータはコメントの（前の）存在から推測できるため、攻撃者が他の方法では表示できないコメントを削除した場合、機密性の問題が発生する可能性があります。そのようなコメントのシーケンス番号。たとえば、アクティビティの期間または非アクティブの期間、要素が受け取るコメントの量を推測できます…
私はCVSSに精通していませんが、システム管理者として、問題を完全性の問題と見なします。つまり、システムの一部が誤って別の部分に影響を与える可能性があります。あなたの場合、そのユーザーBはユーザーAのコメントを削除できます。
システム管理者がアプリの変更なしにこの問題を解決できる可能性は低いですが、（たとえば）作業サーバーのネットワークドライブで同様の問題が発生する可能性があります。ユーザーAは重要なドキュメントを保存しますが、ユーザーBはそれを削除します（夜間のバックアップにはなりません）。これは整合性の問題として扱われ、ユーザーAが領域に対して読み取り/書き込みを行えるが、Bはその領域からしか読み取ることができないようにユーザーを分離する方法を見つけます。ネットワークドライブが（宣伝どおりに）機能していたため、これを "可用性"とは呼びません。
これは、「宣伝されたとおり」の問題ももたらします。私のネットワーク共有の例には、Webアプリケーションの場合と同様に、暗黙の「利用規約」があります（私は暗黙のうちに言っています。ユーザーが他のユーザーのコンテンツを削除することを許可する多くのWebアプリが非常に役立つとは考えられませんが、それはそのようなものであり、ユーザーコンテンツを分離するために追加のソフトウェア層が必要であると主張できます。これはやや論争の多いセマンティクスですが、「アベイラビリティ」と「完全性」の（少なくとも私の認識）を理解するのに役立ちます。