未经授权的删除是完整性或可用性问题吗?

信息安全 拒绝服务 正直 简历 可用性
2021-08-20 06:40:03

在 Web 应用程序测试期间,我发现了一个参数篡改问题,该问题允许用户删除其他用户留下的评论。他们不能修改其他用户评论的内容,只能在有意的地方查看。

我现在正在使用这个计算器计算 CVSS 分数。很明显,没有机密性影响,但我不清楚其他方面。

所以我的问题是:就 CVSSv3 而言,未经授权的删除是完整性问题,还是可用性问题(或两者兼而有之)?

4个回答

正如在这个(未回答的)问题中所指出的CVSSv3 中的可用性是关于 Web 服务的执行情况,而不是其数据是否可用:

虽然机密性和完整性影响度量适用于受影响组件使用的数据(例如信息、文件)的机密性或完整性损失,但该度量是指受影响组件本身(例如网络服务)的可用性损失(例如,网络、数据库、电子邮件)。

回答你的问题:这里只有诚信是相关的。

我想说它提出了一个明确的可用性问题,因为攻击者能够完全删除该特定资源并阻止其他用户访问。

我还要说也存在诚信问题。计算器将完整性的低分定义为“可以修改数据”,我会说这里肯定是这种情况。

回答你的问题:两者。您的得分取决于这些评论对您的申请的重要性。

正直

删除后,生成的数据集将断言没有留下这样的评论。这种说法是错误的。

这取决于您的服务是否具有广泛的备份程序。如果您的备份程序考虑了可能导致数据丢失的错误和用户错误,并且用户提交了恢复此数据的请求,或者您发现了漏洞并能够断言所有被不当删除的评论仍然可用在备份中,可以说这是可用性问题,因为数据只是暂时不可用,直到 DBA 恢复它。与意外地将所有评论设为私密并没有太大区别。

只有当记录永久丢失时,它才会成为一个简单明了的数据完整性问题。

此外,如果攻击者可能会删除不允许他们查看的评论,则可能存在机密性问题,因为可以从评论的(先前)存在中推断出一些元数据,例如基于此类评论的序列号。例如,您可以推断活动或不活动的时期,元素收到的评论数量......