flawopen.com/CWE vs CVE
CWE vs CVE : quelle est la différence ?
CWE désigne un type de faiblesse ; CVE identifie une fiche de vulnérabilité. Une faiblesse peut apparaître dans de nombreux CVE, un CVE peut impliquer des faiblesses liées, et certaines fiches CVE n’ont aucun mappage CWE.
Une façon concrète de le concevoir
CWE classe une faiblesse, tandis qu’un identifiant CVE désigne une fiche de vulnérabilité particulière. La relation n’est pas bijective : une faiblesse peut être à l’origine de nombreux CVE, et un CVE peut impliquer une chaîne de faiblesses. L’entrée CWE-126 de MITRE prend Heartbleed (CVE-2014-0160) comme exemple : une gestion incohérente de la longueur (CWE-130) a permis une lecture au-delà du tampon (CWE-126). Le CVE reste une seule fiche de vulnérabilité ; les deux CWE décrivent des maillons distincts de la chaîne de défaillance.
Comment ils s'articulent sur ce site
La matrice classe de vulnérabilité × langage (injection SQL en Python, XSS en Java, etc.) est bâtie autour des catégories CWE — le schéma général et comment l'éviter, pas l'historique d'un produit précis.
Lorsqu'un CVE précis est assez significatif et largement pertinent pour mériter une couverture, il obtient sa propre analyse qui renvoie à sa classe CWE — mais tous les CVE n'en ont pas un, la plupart étant limités à un seul produit/version.
FAQ
MITRE maintient la liste CWE. CWE et CVE sont des programmes distincts aux rôles complémentaires ; les fiches CVE sont rédigées par les CVE Numbering Authorities (CNA). NVD est un programme distinct de NIST qui consomme les données CVE et peut ajouter ses propres mappages CWE et d’autres enrichissements. Un mappage NVD n’est pas automatiquement la classification initiale de la CNA.
Non. Une fiche CVE peut ne pas avoir de mappage CWE spécifique. Par exemple, NVD affiche NVD-CWE-noinfo (« Informations insuffisantes ») pour CVE-2021-27823. NVD peut afficher les informations CWE fournies par la CNA avec ses propres enrichissements. Considérez l’étiquette CWE comme une métadonnée de classification, et non comme la preuve que la fiche décrit toute la cause racine ou la chaîne.