CVSSの機密性への影響について、logjamが「なし」と評価されるのはなぜですか。

Question

enter image description here

ニースの動的画像の解釈で述べたように、影響メトリック「機密性」は「なし」（C：N）として記述されます。

しかし、 Logjam の説明は "盗聴できるパッシブネットワークの敵がいます"攻撃1について、FBIサイトへの投稿の平文を表示するビデオがあります。確かに、それは少なくとも部分的な機密性の影響C/P）に値します。

そしてもちろん、それまたはなりすまし攻撃を適切なユーザーに対して使用できる場合は、サーバーの機密性、整合性、および可用性に関する情報に完全にアクセスできる可能性もあります。しかし、私は彼らがそれらの後続の攻撃を数えないと思います。

StackzOfZtuff · Answer

NVDがどのようにして彼らを思いついたのかはわかりません。それをベースライン評価と呼びましょう。しかし、すべてのベンダーがそのベースライン評価に従っているわけではないことをお伝えできます。

格付け調査

FIRST.orgは、脆弱性のスコアリング方法についていくつかの CVSSの例を提供しています。これらの例では、正しく評価するように注意していると思います。

これらは、CVSSv2とCVSSv3の両方を使用してスコアリングされます。

そして、2つのSSL/TLSの脆弱性がリストされています。ナンバー3、それはプードルです。そして、ChangeChiperSpecの脆弱性である20番。そして、どちらもCVSS v2で「C：P（部分的）」を獲得しています。

そして、これらの例を見ると、LogjamもC：Pとしてスコアリングします。 NVDはそうではありません。理由はわかりません。

この投稿の長く複雑な進化については、編集履歴を参照してください。