Mit jelent az, hogy sérülékenység?
Minden olyan szoftvert érintő gyengeség ill. kockázat, amely veszélyezteti vagy veszélyeztetheti egy rendszer bizalmasságát, sértetlenségét és/vagy rendelkezésre állását.
Mennyire megbízhatóak a források?
A publikált sérülékenységek forrásai abszolút megbízhatóak, mivel a nyilvánosságra hozatal egy több lépcsős, több szűrős folyamat eredménye, rendszerint gyártói megerősítéssel, referenciával.
A publikációkban nem találom a sérülékenység kihasználásának részletes módját, leírását. Miért?
A publikáció célja a tudatosítás, veszélyekre, kockázatokra történő figyelem felhívása. Az esetleges visszaélések elkerülése végett, ezek nem kerülnek publikálásra.
Mi az, hogy hatás?
Egy sérülékenység kihasználása esetén mérhető káros következmény. Egy biztonsági esemény káros hatása többek között leírható a bizalmasság, sértetlenség és rendelkezésre állás elvesztésével vagy csökkenésével.
Mit jelent az, hogy súlyosság?
Egy egyszerűsített kvalitatív kockázati besorolás, amely segít meghatározni a sérülékenység mértékét, kiterjedtségét. A kockázati besorolás meghatározásakor figyelembe vesszük az érintett szoftver penetrációját, támadás típusát, hozzáférés módját, valamint annak hatását.
Öt fajta súlyossági típust különböztetünk meg:
- Kritikus
Széles körben elterjedt szoftverek legfőképp távoli root szintű hozzáférése, melyek tipikusan tetszőleges kód futtatását, illetve a rendszer feletti teljes irányítás átvételét eredményezhetik. - Magas
Széles körben elterjedt szoftver legfőképp távoli root szintű hozzáférése, melyek tipikusan tetszőleges kód futtatását eredményezheti, de a felhasználó közreműködése is szükséges a kihasználáshoz, esetleg egy az alapértelmezettől eltérő beállítás. Ilyenek lehetnek például a hitelesítési módszerek vagy a titkosítási módszerek elleni támadások. - Közepes
Elterjedt szoftver legfőképp helyi adminisztrátori szintű hozzáférése. Sikeres kihasználás esetén tipikusan szolgáltatás megtagadás okozható, valamint a sikeres kihasználás tipikusan input manipulációt, távoli kapcsolaton keresztül adatok jogosulatlan hozzáférését vagy jogosulatlan megszerzését eredményezheti. - Alacsony
Magyarországon széleskörben nem alkalmazott szoftver vagy alkalmazás biztonsági hibája. A kihasználáshoz legfőképp helyi felhasználói szintű hozzáférés szükséges. Sikeres kihasználás esetén emelt szintű jogosultságok megszerzése vagy helyi adatokhoz való jogosulatlan hozzáférés (például konfigurációs adatok) lehetséges vagy race condition típusú támadások is kivitelezhetőek. - Minimális
Magyarországon nem különösebben elterjedt vagy speciális célokra használható szoftver, mint például mini alkalmazások vagy egyes szoftverek különböző komponensei. A kihasználás legfőképp csak helyi felhasználói hozzáféréssel lehetséges. A sikeres kihasználás tipikusan jogosulatlan hozzáférést eredményezhet helyi adatokhoz.
