CWE

Загальний перелік вразливостей (англ. Common Weakness Enumeration, CWE) — система категорій для слабких місць і вразливостей програмного забезпечення. Він підтримується проектом спільноти, метою якого є розуміння недоліків програмного забезпечення та створення автоматизованих інструментів, які можна використовувати для виявлення, виправлення та запобігання цих недоліків. Проект спонсорується ^[en], ним керує ^[en], за підтримки ^[en] та Національного управління кібербезпеки Міністерства національної безпеки США.

Версія 4.5 стандарту CWE була випущена в липні 2021 року.

CWE має понад 600 категорій, включаючи класи для переповнення буфера, помилки обходу дерева шляхів/каталогів, стан гонки, міжсайтовий скриптинг, жорстко закодовані паролі та небезпечну генерацію випадкових чисел.

Приклади

• Категорія CWE 121 призначена для переповнення буфера у стеку.

Сумісність із CWE

Програма сумісності Common Weakness Enumeration (CWE) дозволяє перевіряти послугу або продукт і реєструвати їх як офіційні «CWE-сумісні» та «CWE-ефективні». Програма допомагає організаціям вибрати правильні програмні інструменти та дізнатися про можливі слабкі сторони та їх можливий вплив.

Щоб отримати статус сумісного з CWE, продукт або послуга повинні відповідати 4 з 6 вимог, наведених нижче:

Пошук по CWE	користувачі можуть здійснювати пошук елементів безпеки за допомогою ідентифікаторів CWE
Вивід CWE	елементи безпеки, представлені користувачам, включають або дозволяють користувачам отримувати пов’язані ідентифікатори CWE
Точність відображення	елементи безпеки точно посилаються на відповідні ідентифікатори CWE
Документація CWE	документація щодо можливостей описує CWE, сумісність із CWE та як використовуються пов’язані з CWE функціональні можливості
Покриття CWE	для CWE-сумісності та CWE-ефективності, документація можливості чітко перелічує CWE-ID, які підтверджують можливість покриття та ефективність щодо розташування в програмному забезпеченні
Результати тестування CWE	для CWE-ефективності, доступні результати тестування, що показують результати оцінки програмного забезпечення для CWE, розміщені на вебсайті CWE

Станом на вересень 2019 року існує 56 організацій, які розробляють та підтримують продукти та послуги, які отримали статус CWE Compatible.

Дослідження, критика та нові розробки

Деякі дослідники вважають, що двозначності в CWE можна уникнути або зменшити.

Див. також

• Common Vulnerabilities and Exposures (CVE)
• Загальна система оцінки вразливостей
• Національна база даних вразливостей

Примітки

1. CWE - About CWE. at mitre.org. Архів оригіналу за 15 серпня 2011. Процитовано 7 березня 2022.
2. National Vulnerabilities Database CWE Slice [Архівовано 21 квітня 2021 у Wayback Machine.] at nist.gov
3. CWE News. at mitre.org. Архів оригіналу за 20 березня 2021. Процитовано 7 березня 2022.
4. Common Weakness Enumeration Version 4.5. The MITRE Corporation. Архів оригіналу за 5 вересня 2021. Процитовано 3 жовтня 2021.
5. The Bugs Framework (BF) / Common Weakness Enumeration (CWE) [Архівовано 14 квітня 2021 у Wayback Machine.] at nist.gov
6. CWE-121: Stack-based Buffer Overflows. Архів оригіналу за 14 квітня 2021. Процитовано 7 березня 2022.
7. CWE - CWE-Compatible Products and Services. at mitre.org. Архів оригіналу за 14 квітня 2021. Процитовано 7 березня 2022.
8. Paul E. Black, Irena V. Bojanova, Yaacov Yesha, Yan Wu. 2015. Towards a “Periodic Table” of Bugs [Архівовано 14 квітня 2021 у Wayback Machine.]

Джерела

• Certifying Applications for Known Security Weaknesses. The Common Weakness Enumeration (CWE) Effort [Архівовано 7 березня 2022 у Wayback Machine.] // 6 March 2007
• Classes of Vulnerabilities and Attacks (PDF). Wiley Handbook of Science and Technology for Homeland Security. comparison of different vulnerability Classifications. Архів оригіналу (PDF) за 22 березня 2016. {{}}: Cite має пустий невідомий параметр: |df= ()