Council)のプロジェクトで2004年10月に原案が作成されました。v2が公開されました。v3(*2)は、仮想化やサンドボックス化などが進んできていることから、利用状況の変化を取り込んだ仕様とすべく、2012年6月から検討が始まったものです。v2版を提供してきました(*5)。v3の仕様検討にも取り組んできました。v3の資料を基に作成しました。Update』(*2)を参照下さい。CVSSとはCVSSは、情報システムの脆弱性に対するオープンで汎用的な評価手法であり、ベンダーに依存しない共通の評価方法を提供しています。CVSSを用いると、脆弱性の深刻度を同一の基準の下で定量的に比較できるようになります。ベンダー、セキュリティ専門家、管理者、ユーザ等の間で、脆弱性に関して共通の言葉で議論できるようになります。CVSSでは次の3つの基準で脆弱性を評価します。Metrics)脆弱性そのものの特性を評価する基準です。Score)を算出します。この基準による評価結果は固定していて、時間の経過や利用環境の異なりによって変化しません。ベンダーや脆弱性を公表する組織などが、脆弱性の固有の深刻度を表すために評価する基準です。Metrics)脆弱性の現在の深刻度を評価する基準です。Score)を算出します。この基準による評価結果は、脆弱性への対応状況に応じ、時間が経過すると変化します。ベンダーや脆弱性を公表する組織などが、脆弱性の現状を表すために評価する基準です。Metrics)ユーザの利用環境も含め、最終的な脆弱性の深刻度を評価する基準です。Score)を算出します。この基準による評価結果は、脆弱性に対して想定される脅威に応じ、ユーザ毎に変化します。ユーザが脆弱性への対応を決めるために評価する基準です。v2とv3との違いについて2007年にリリースされたバージョン2は、攻撃対象となるホストやシステムにおいての『脆弱性による深刻度」を評価していましたが、仮想化やサンドボックス化などが進んできていることから、コンポーネント単位で評価する手法を取り込んだ仕様となっています。複雑さ、必要な特権レベル、ユーザ関与レベル)と、攻撃による影響を評価する項目(機密性への影響、完全性への影響、可用性への影響)を分けて評価する手法を採用しています。Componentと呼びます)。Componentと呼びます)。影響想定範囲が、コンポーネントに留まる場合(脆弱想定範囲=影響想定範囲)もありますし、コンポーネント以外にも広がる場合(脆弱想定範囲!=影響想定範囲)もあります。コンポーネント以外にも広がる事例としては、クロスサイトスクリプティングのように、Webアプリケーションに存在する脆弱性が、Webアプリケーション利用者のPCのCIAに影響する事例や、ゲストOSに存在する脆弱性が、ホストOSのCIAに影響する事例が挙げられます。v3では、基本評価基準において脆弱性の影響範囲拡大を加味するため、スコープという評価項目を導入しました。『スコープ変更なし』は、脆弱性の影響がコンポーネントに留まる場合(脆弱想定範囲=影響想定範囲)であり、『スコープ変更あり』は、脆弱性の影響がコンポーネント以外にも広がる場合(脆弱想定範囲!=影響想定範囲)となります。攻撃による影響を評価する項目については、直接的な影響に主眼をおいて評価するようになりました。v3では、新たに、『必要な特権レベル』、『ユーザ関与レベル』を導入しました。ついては、『必要な特権レベル』の一部として評価することになりました。環境評価基準のアプローチの変更コンポーネント単位で評価する手法の採用にあわせて、環境評価基準のアプローチが大きく変更されました。システム範囲』項目にみられるように、攻撃対象となるホストやシステム全般への影響を評価していました。v3の環境評価基準では、攻撃の難易度を評価する項目、攻撃による影響を評価する項目を実状に合わせて再評価するという評価手法を採用しています。Webサーバのプログラムに『攻撃元区分=ネットワーク』となる脆弱性が存在したとします。=隣接』と再評価することになります。Vector)脆弱性のあるコンポーネントをどこから攻撃可能であるかを評価します。対象コンポーネントをネットワーク経由でリモートから攻撃可能である。対象コンポーネントを隣接ネットワークから攻撃する必要がある。対象コンポーネントをローカル環境から攻撃する必要がある。対象コンポーネントを物理アクセス環境から攻撃する必要がある。Complexity)脆弱性のあるコンポーネントを攻撃する際に必要な条件の複雑さを評価します。特別な攻撃条件を必要とせず、対象コンポーネントを常に攻撃可能である。攻撃者以外に依存する攻撃条件が存在する。次のいずれかの条件に合致する場合などが該当する。攻撃者は、設定情報、シーケンス番号、共有鍵など、攻撃対象の情報収集が事前に必要となる。攻撃者は、競合が発生する条件、ヒープスプレイを成功させるための条件など、攻撃を成功させるための環境条件を明らかにする必要がある。攻撃者は、中間者攻撃のため環境が必要となる。Required)脆弱性のあるコンポーネントを攻撃する際に必要な特権のレベルを評価します。特別な権限を有する必要はない。コンポーネントに対する基本的な権限を有していれば良い。コンポーネントに対する管理者権限相当を有する必要がある。Interaction)脆弱性のあるコンポーネントを攻撃する際に必要なユーザ関与レベルを評価します。ユーザが何もしなくても脆弱性が攻撃される可能性がある。リンクのクリック、ファイル閲覧、設定の変更など、ユーザ動作が必要である。スコープ(S:Scope)脆弱性のあるコンポーネントへの攻撃による影響範囲を評価します。影響範囲が脆弱性のあるコンポーネントの帰属するオーソリゼーションスコープに留まる。影響範囲が脆弱性のあるコンポーネントの帰属するオーソリゼーションスコープ以外にも広がる可能性がある。Scope)という概念を考慮する必要があります。脆弱性のあるコンポーネント(ソフトウェアA)を攻撃し、その影響が他のコンポーネント(ソフトウェアB)に及んだとしても、同じオーソリゼーションスコープ内にあれば、「スコープ変更なし」となります。脆弱性のあるコンポーネント(ソフトウェアHやX)を攻撃した結果、他のオーソリゼーションスコープにある他のコンポーネント(ソフトウェアIやY)に及んだ場合には、同じホスト内であっても「スコープ変更あり」となります。スコープ変更あり(全組合せの平均値:6.00)の場合、スコープ変更なし(全組合せの平均値:4.99)に比べて、評価値が1.2倍高くなります。Impact)脆弱性を攻撃された際に、対象とする影響想定範囲の情報が漏えいする可能性を評価します。機密情報や重要なシステムファイルが参照可能であり、その問題による影響が全体に及ぶ。情報漏えいやアクセス制限の回避などが発生はするが、その問題による影響が限定的である。影響を受ける範囲ではなく、重要な情報に対する影響の有無を判定するように変更されています。基本値を算出する際には、重要な情報に対する影響の有無で判定してください。Impact)脆弱性を攻撃された際に、対象とする影響想定範囲の情報が改ざんされる可能性を評価します。機密情報や重要なシステムファイルの改ざんが可能で、その問題による影響が全体に及ぶ。情報の改ざんが可能ではあるが、機密情報や重要なシステムファイルの改ざんはできないために、その問題による影響が限定的である。影響を受ける範囲ではなく、重要な情報に対する影響の有無を判定するように変更されています。基本値を算出する際には、重要な情報に対する影響の有無で判定してください。Impact)脆弱性を攻撃された際に、対象とする影響想定範囲の業務が遅延・停止する可能性を評価します。リソース(ネットワーク帯域、プロセッサ処理、ディスクスペースなど)を完全に枯渇させたり、完全に停止させることが可能である。リソースを一時的に枯渇させたり、業務の遅延や一時中断が可能である。Maturity)攻撃コードや攻撃手法が実際に利用可能であるかを評価します。この項目を評価しない。攻撃コードがいかなる状況でも利用可能である。攻撃コードを必要とせず、攻撃可能である。攻撃コードが存在し、ほとんどの状況で使用可能である。実証コードが存在している。完成度の低い攻撃コードが存在している。実証コードや攻撃コードが利用可能でない。攻撃手法が理論上のみで存在している。Level)脆弱性の対策がどの程度利用可能であるかを評価します。この項目を評価しない。利用可能な対策がない。製品開発者以外からの非公式な対策が利用可能である。製品開発者からの暫定対策が利用可能である。製品開発者からの正式対策が利用可能である。Confidence)脆弱性に関する情報の信頼性を評価します。この項目を評価しない。製品開発者が脆弱性情報を確認している。ソースコードレベルで脆弱性の存在を確認されている。脆弱性情報が実証コードや攻撃コードなどにより広範囲に確認されている。セキュリティベンダーや調査団体から、複数の非公式情報が存在している。ソースコードレベルで脆弱性の存在が確認できていない。脆弱性の原因や検証が十分ではない。未確認の情報のみ存在している。いくつかの相反する情報が存在している。Requirements)要求されるセキュリティ特性に関して、その該当項目(『機密性(C)』、『完全性(I)』、『可用性(A)』)を重視する場合、その該当項目を高く評価します。Requirement:AR)』を評価します。この項目を評価しない。該当項目を失われると、壊滅的な影響がある。該当項目を失われると、深刻な影響がある。該当項目を失われても、一部の影響にとどまる。Metrics)攻撃の難易度を評価する項目、攻撃による影響を評価する項目を実状に合わせて再評価します。脆弱性のあるコンポーネントをどこから攻撃可能であるかを再評価します。脆弱性のあるコンポーネントを攻撃する際に必要な条件の複雑さを再評価します。脆弱性のあるコンポーネントを攻撃する際に必要な特権のレベルを再評価します。脆弱性のあるコンポーネントを攻撃する際に必要なユーザ関与レベルを再評価します。脆弱性のあるコンポーネントへの攻撃による影響範囲を再評価します。脆弱性を攻撃された際に、対象とする影響想定範囲の情報が漏えいする可能性を再評価します。脆弱性を攻撃された際に、対象とする影響想定範囲の情報が改ざんされる可能性を再評価します。脆弱性を攻撃された際に、対象とする影響想定範囲の業務が遅延・停止する可能性を再評価します。Metrics)を順番に評価していくことで、脆弱性の深刻度を0(低)~10.0(高)の数値で表します。v3では、深刻度レベル分けを次のように設定しています。緩和策後の可用性への影響(MA)評価結果に対応する値は、基本評価基準と同一です。基本評価基準での評価結果を参照することになります。区分(MAV)=ネットワーク(N)として算出します。v2に関する情報を眺めていると、(AV:N/AC:L/Au:N/C:P/I:P/A:P)のような表記を見かけることがあります。これは、CVSSのパラメーターが短縮表記されたものです。v3でも同様な表記が可能となっています。v3では、先頭にバージョン3であることを示すプレフィックスCVSS:3.0の後に、パラメーターの短縮表記として、各評価の項目とその選択肢を記載します。攻撃元区分の項目名はAV、選択肢はローカル:L、隣接ネットワーク:A、ネットワーク:N、物理:Pです。PR:N/S:U/C:L/I:L/A:L)は、『CVSSバージョン3.0で、攻撃元区分:ネットワーク、攻撃条件の複雑さ:低、特権レベル:不要、スコープ:変更なし、機密性/完全性/可用性への影響:低』を意味します。v3計算ソフトウェアは、パラメーターの短縮表記されたデータを取り込むことができます。CVE-2013-1937(JVNDB-2013-002247)http://jvndb.jvn.jp/ja/contents/2013/JVNDB-2013-002247.html[タイトル]phpMyAdminのtbl_gis_visualization.phpにおけるクロスサイトスクリプティングの脆弱性[概要]phpMyAdminのtbl_gis_visualization.phpには、クロスサイトスクリプティングの脆弱性が存在します。Replicationに関する処理に不備があるため、機密性および完全性に影響のある脆弱性が存在します。CVE-2014-3566(JVNDB-2014-004670)http://jvndb.jvn.jp/ja/contents/2014/JVNDB-2014-004670.html[タイトル]OpenSSLおよびその他の製品で使用されるSSLプロトコルにおける平文データを取得される脆弱性[概要]OpenSSLおよびその他の製品で使用されるSSLプロトコルは、非決定的なCBCパディングを使用するため、平文データを取得される脆弱性が存在します。本脆弱性は、"POODLE"と呼ばれています。ESXiおよびESXのVMXプロセスは、RPCコマンドを適切に処理しないため、サービス運用妨害(メモリの上書きおよびプロセスクラッシュ)状態となる、またはホストOS上の任意のコードを実行される脆弱性が存在します。Tomcatには、Webアプリケーションが他のWebアプリケーションに対するXMLパーサを置き換えることを許可するため、任意のWebアプリケーションのweb.xml、context.xml、tldファイルを読まれる、または改ざんされる脆弱性が存在します。XEには、AAAが有効であるとき、アクセス制限を回避される、または任意のコマンドを実行される脆弱性が存在します。CSCtr91106の問題です。XのiWorkには、任意のコードを実行される、またはサービス運用妨害(メモリ破損)状態にされる脆弱性が存在します。CVE-2014-0160(JVNDB-2014-001920)http://jvndb.jvn.jp/ja/contents/2014/JVNDB-2014-001920.html[タイトル]OpenSSLのheartbeat拡張に情報漏えいの脆弱性[概要]OpenSSLのheartbeat拡張の実装には、情報漏えいの脆弱性が存在します。TLSやDTLS通信においてOpenSSLのコードを実行しているプロセスのメモリ内容が通信相手に漏えいする可能性があります。bashは、環境変数の値の関数定義の後で末尾の文字列を処理するため、任意のコードを実行される脆弱性が存在します。CVE-2008-1447(JVNDB-2008-001495)http://jvndb.jvn.jp/ja/contents/2008/JVNDB-2008-001495.html[タイトル]複数のDNS実装にキャッシュポイズニングの脆弱性[概要]複数のDNS実装にキャッシュポイズニング攻撃が容易になる脆弱性があります。最近の研究で、いままでに知られているよりも効率的にキャッシュポイズニングを行う手法が見つかっています。DNSキャッシュサーバが対象になるとともに、PCなども攻撃対象になる可能性があることに注意してください。キャッシュポイズニング攻撃は、偽造したresponseパケットを送り込むことにより行われます。queryパケットの送信元ポートをqueryごとにランダムに変更することにより、キャッシュポイズニング攻撃が成功する確率を小さくすることができます。Encryptionには、認証不備の脆弱性が存在します。Encryptionは、ハードディスク上のデータを暗号化するための製品です。Windowsの初期設定では、コンピュータがスリープ、休止状態から復帰する際にログオン認証を求められますが、当該製品がインストールされたコンピュータでは、ログオン認証が行われずに操作が可能となります。CVE-2010-0467(JVNDB-2010-003815)http://jvndb.jvn.jp/ja/contents/2010/JVNDB-2010-003815.html[タイトル]Joomla!のccNewsletterコンポーネントにおけるディレクトリトラバーサルの脆弱性[概要]Joomla!のccNewsletter(com_ccnewsletter)コンポーネントには、ディレクトリトラバーサルの脆弱性が存在します。(CRS)には、アクセス制御リスト(ACL)のエントリを回避される脆弱性が存在します。CSCtj10975の問題です。ARPが有効になっている場合、ARPポイズニング攻撃を実行される、および重要な情報を取得される脆弱性が存在します。Managerのconf/mime.confのデフォルトファイルタイプのホワイトリストの設定には、任意のWebスクリプトまたはHTMLを実行される脆弱性が存在します。ReaderおよびAcrobatには、PDFドキュメントの処理に不備があるため、バッファオーバーフローの脆弱性が存在します。Stackは、(1)適切に初期化されなかった、または(2)既に削除されているメモリ内のオブジェクトへのアクセスを防止しないため、任意のコードを実行される脆弱性が存在します。IDに関連付られる脆弱性が存在します。CVE-2015-0970(JVNDB-2015-002412)http://jvndb.jvn.jp/ja/contents/2015/JVNDB-2015-002412.html[タイトル]SearchBloxにおけるクロスサイトリクエストフォージェリの脆弱性[概要]SearchBloxには、クロスサイトリクエストフォージェリの脆弱性が存在します。Specメッセージの処理に脆弱性が存在します。Specメッセージがサーバからクライアントへ、クライアントからサーバへ送られます。Specメッセージを受け取ると、空の鍵情報を使って暗号化鍵を生成してしまいます(CWE-325)。Chromeのプロセス間通信(IPC)の実装には、サンドボックスの制限を回避され、任意のファイルに書き込まれる脆弱性が存在します。本脆弱性は、CVE-2012-5112とは異なる脆弱性です。5010005007126)。