flawopen.com/CWE vs CVE
CWE frente a CVE: ¿cuál es la diferencia?
CWE nombra un tipo de debilidad; CVE identifica un registro de vulnerabilidad. Una debilidad puede aparecer en muchos CVE, un CVE puede implicar debilidades encadenadas y algunos registros CVE no tienen asignación CWE.
Una forma concreta de verlo
CWE clasifica una debilidad, mientras que un ID CVE identifica un registro concreto de vulnerabilidad. La relación no es uno a uno: una debilidad puede estar detrás de muchos CVE y un CVE puede implicar una cadena de debilidades. La entrada CWE-126 de MITRE usa Heartbleed (CVE-2014-0160) como ejemplo: un manejo inconsistente de la longitud (CWE-130) permitió una lectura fuera de los límites del búfer (CWE-126). El CVE sigue siendo un solo registro de vulnerabilidad; los dos CWE describen distintos eslabones de la cadena del fallo.
Cómo se relacionan en este sitio
La matriz clase de vulnerabilidad × lenguaje (inyección SQL en Python, XSS en Java, etc.) se construye en torno a categorías CWE: el patrón general y cómo evitarlo, no el historial de ningún producto concreto.
Cuando un CVE concreto es lo bastante significativo y ampliamente relevante como para merecer cobertura, recibe su propio análisis que enlaza de vuelta con su clase CWE, pero no todo CVE lo obtiene, ya que la mayoría se limita a un único producto/versión.
FAQ
MITRE mantiene la lista CWE. CWE y CVE son programas distintos con funciones complementarias; las autoridades CVE Numbering Authorities (CNA) redactan los registros CVE. NVD es un programa separado de NIST que consume datos CVE y puede añadir sus propias asignaciones CWE y otros enriquecimientos. Una asignación de NVD no es automáticamente la clasificación original de la CNA.
No. Un registro CVE puede no tener una asignación CWE específica. Por ejemplo, NVD muestra NVD-CWE-noinfo («Información insuficiente») para CVE-2021-27823. NVD puede mostrar la información CWE proporcionada por la CNA junto con su propio enriquecimiento. Trate la etiqueta CWE como metadato de clasificación, no como prueba de que el registro recoja toda la causa raíz o la cadena.