flawopen.com/CWE vs. CVE
CWE vs. CVE: Was ist der Unterschied?
CWE bezeichnet eine Schwachstellenart; CVE kennzeichnet einen Schwachstellendatensatz. Eine Schwachstellenart kann in vielen CVEs vorkommen, ein CVE kann verknüpfte Schwachstellen umfassen, und bei manchen CVE-Datensätzen fehlt eine CWE-Zuordnung.
Eine anschauliche Denkweise dazu
CWE klassifiziert eine Schwachstelle, während eine CVE-ID einen bestimmten Schwachstellendatensatz bezeichnet. Die Zuordnung ist nicht eins zu eins: Eine Schwachstelle kann vielen CVEs zugrunde liegen, und ein CVE kann eine Kette von Schwachstellen umfassen. MITREs CWE-126-Eintrag nennt Heartbleed (CVE-2014-0160) als Beispiel: Inkonsistente Längenverarbeitung (CWE-130) ermöglichte ein Lesen über das Pufferende hinaus (CWE-126). Das CVE bleibt ein einzelner Schwachstellendatensatz; die beiden CWEs beschreiben verschiedene Glieder der Fehlerkette.
Wie sie auf dieser Website zusammenhängen
Die Matrix Schwachstellenklasse × Sprache (SQL-Injection in Python, XSS in Java usw.) ist um CWE-Kategorien herum aufgebaut — das allgemeine Muster und wie man es vermeidet, nicht die Geschichte eines bestimmten Produkts.
Wenn ein bestimmtes CVE bedeutsam und breit relevant genug ist, um behandelt zu werden, erhält es eine eigene Analyse, die auf seine CWE-Klasse zurückverweist — aber nicht jedes CVE bekommt eine, da die meisten auf ein einzelnes Produkt/eine Version beschränkt sind.
FAQ
MITRE pflegt die CWE-Liste. CWE und CVE sind getrennte Programme mit ergänzenden Aufgaben; CVE-Datensätze werden von CVE Numbering Authorities (CNAs) verfasst. NVD ist ein eigenständiges NIST-Programm, das CVE-Daten übernimmt und eigene CWE-Zuordnungen sowie weitere Anreicherungen ergänzen kann. Eine NVD-Zuordnung ist nicht automatisch die ursprüngliche Klassifizierung der CNA.
Nein. Ein CVE-Datensatz kann ohne konkrete CWE-Zuordnung vorliegen. Für CVE-2021-27823 zeigt NVD beispielsweise NVD-CWE-noinfo („Unzureichende Informationen“). NVD kann von der CNA gelieferte CWE-Angaben zusammen mit eigenen Anreicherungen anzeigen. Eine CWE-Angabe ist Klassifizierungsmetadatum und kein Beleg dafür, dass der Datensatz die vollständige Ursache oder Fehlerkette erfasst.