add cvss score

Lab01/documentation/app/app.tex

@@ -8,10 +8,28 @@ Die App soll eine einfache Erstellung von Aufgaben anbieten. Der Task soll erste
 
 Im Folgenden werden Schwachstellen in Kategorien der OWASP Top Ten eingeteilt.
 
-\cite[vgl. dazu][]{owasp}
+\cite[vgl.][]{owasp}
+
+\subsection{CVSS (Common Vulnerability Scoring System)} \label{cvss-score}
+
+Der angegebene CVSS Score wird in folgende Kategorien eingeteilt:
+
+\cite[vgl.][]{cvss}
+
+\begin{list}{}{}
+    \item 0.0 = None
+    \item 0.1-3.9 = Low
+    \item 4.0-6.9 = Medium
+    \item 7.0-8.9 = High
+    \item 9.0 - 10.0 = Critical
+\end{list}
+
+\newpage
 
 \subsection{A7:2021 - Identification and Authentication Failures} \label{first}
 
+CVSS Score (Abschnitt \ref{cvss-score}) : \textbf{9.0}
+
 \subsubsection{Beschreibung der Schwachstellen}
 
 Der Benutzer muss sich vor der Nutzung der App Registrieren (Abbildung \ref{fig:Registrieren}).
@@ -62,8 +80,6 @@ Wenn der Benutzer sich anmeldet, wir ein Cookie mit dem Nutzernamen im Frontend
     \end{center}
 \end{figure}
 
-\newpage
-
 \subsubsection{Schwachstelle ausbessern}
 
 Bei der Registrierung und dem Anmelden sollte sowohl im Frontend als auch im Backend auf Fehler validiert werden. In Frameworks wie Vue, React oder Angular kann dies einfach gemacht werden. Zusätzlich bieten Backends eine Säuberungsfunktion für Form-Daten an, die unerlaubte Zeichen verhindern.
@@ -83,6 +99,8 @@ Die Abspeicherung des Login-Status im Backend ist eine große Sicherheitslücke.
 
 \subsection{A3:2021 - Injection}
 
+CVSS Score (Abschnitt \ref{cvss-score}) : \textbf{6.5}
+
 \subsubsection{Beschreibung der Schwachstellen}
 
 Es kann in der App nach Aufgaben gesucht werden (Abbildung \ref{fig:Suchen im Frontend}). Der eingegebene Filter wird dazu an das Backend geschickt und als Antwort kommt eine liste an Aufgaben zurück (Abbildung \ref{fig:Suchen im Backend}). Die eigentliche Suchfunktion wird hierbei von Backend übernommen.
@@ -146,6 +164,8 @@ Der Code im Backend ist fehlerhaft. Anstatt die von Go zur Verfügung gestellte
 
 \subsection{A1:2021 - Broken Access Control}
 
+CVSS Score (Abschnitt \ref{cvss-score}) : \textbf{10.0}
+
 \subsubsection{Beschreibung der Schwachstellen}
 
 CORS im Backend wurde ausgeschaltet um das Entwickeln einfacher zu machen.
@@ -179,6 +199,8 @@ Das Abspeichern der Passwörter darf nur verschlüsselt erfolgen. Zum Beispiel w
 
 \subsection{A7:2017 - Cross-Site Scripting (XSS)}
 
+CVSS Score (Abschnitt \ref{cvss-score}) : \textbf{7.5}
+
 \subsubsection{Beschreibung der Schwachstellen}
 
 Wie schon im Abschnitt \ref{first} beschrieben, findet keinerlei Texteingabe-Validierung statt. Somit kann als Aufgabe beliebiger HTML oder JavaScript Code wie z.B. ein Button, der Cookies anzeigt eingefügt werden (Abbildung \ref{fig:XSS Angriff}). 
@@ -197,4 +219,4 @@ Wie schon im Abschnitt \ref{first} beschrieben, findet keinerlei Texteingabe-Val
 
 \subsubsection{Schwachstelle ausbessern}
 
-Jeglicher Text der eingegeben oder wieder auf der Website angezeigt wird, sollte auf typische Syntax überprüft werden. URLs oder externe Web-Resources sollten außerdem ausgeschaltet werden. Außerdem, wenn möglich die Interaktion des Nutzers durch Kommentare vermeiden oder nur im geringen Maße zulassen. Eine Überprüfung des Kommentars durch eine Person kann außerdem eingebaut werden.
+Jeglicher Text der eingegeben oder wieder auf der Website angezeigt wird, sollte auf typische Syntax überprüft werden. URLs oder externe Web-Resources sollten außerdem ausgeschaltet werden. Außerdem, wenn möglich die Interaktion des Nutzers durch Kommentare vermeiden oder nur im geringen Maße zulassen. Eine Überprüfung des Kommentars durch eine Person kann außerdem eingebaut werden.

Lab01/documentation/bib/online.bib

@@ -13,3 +13,11 @@
   year    = {2022},
   url     = {https://owasp.org/www-project-top-ten/}
 }
+
+@online{cvss,
+  author  = {{Madelyn Bacon}},
+  title   = {CVSS (Common Vulnerability Scoring System) },
+  urldate = {2022-03-09},
+  year    = {2022},
+  url     = {https://www.techtarget.com/searchsecurity/definition/CVSS-Common-Vulnerability-Scoring-System}
+}