flawopen.com/CWE बनाम CVE
CWE बनाम CVE: क्या अंतर है?
CWE कमजोरी के प्रकार का नाम है; CVE किसी भेद्यता के रिकॉर्ड की पहचान करता है। एक कमजोरी कई CVE में दिख सकती है, एक CVE में जुड़ी हुई कई कमजोरियाँ हो सकती हैं, और कुछ CVE रिकॉर्ड में CWE मैपिंग नहीं होती।
इसे समझने का एक ठोस तरीक़ा
CWE कमजोरी का वर्गीकरण करता है, जबकि CVE ID किसी खास भेद्यता रिकॉर्ड की पहचान करता है। इनका संबंध एक-से-एक नहीं है: एक कमजोरी कई CVE के पीछे हो सकती है, और एक CVE में कमजोरियों की श्रृंखला हो सकती है। MITRE की CWE-126 प्रविष्टि Heartbleed (CVE-2014-0160) को उदाहरण के रूप में देती है: लंबाई के असंगत प्रबंधन (CWE-130) ने बफर सीमा से आगे पढ़ने (CWE-126) को संभव बनाया। CVE एक ही भेद्यता रिकॉर्ड रहता है; दोनों CWE विफलता-श्रृंखला की अलग-अलग कड़ियाँ बताते हैं।
इस साइट पर ये कैसे जुड़ते हैं
भेद्यता-वर्ग × भाषा मैट्रिक्स (Python में SQL इंजेक्शन, Java में XSS आदि) CWE श्रेणियों के इर्द-गिर्द बना है — सामान्य पैटर्न और उससे कैसे बचें, किसी एक विशिष्ट उत्पाद का इतिहास नहीं।
जब कोई विशिष्ट CVE इतना महत्वपूर्ण और व्यापक रूप से प्रासंगिक हो कि कवरेज का हक़दार बने, तो उसे अपना अलग लेख मिलता है जो उसकी CWE श्रेणी से जुड़ता है — पर हर CVE को नहीं, क्योंकि अधिकांश किसी एक उत्पाद/संस्करण तक सीमित होते हैं।
FAQ
MITRE CWE सूची का रखरखाव करता है। CWE और CVE अलग-अलग लेकिन पूरक भूमिकाओं वाले कार्यक्रम हैं; CVE रिकॉर्ड CVE Numbering Authorities (CNA) लिखते हैं। NVD, NIST का अलग कार्यक्रम है जो CVE डेटा का उपयोग करता है और अपनी CWE मैपिंग तथा अन्य संवर्धन जोड़ सकता है। NVD की मैपिंग अपने-आप CNA का मूल वर्गीकरण नहीं होती।
नहीं। किसी CVE रिकॉर्ड में विशिष्ट CWE मैपिंग न हो सकती है। उदाहरण के लिए, CVE-2021-27823 के लिए NVD NVD-CWE-noinfo (“अपर्याप्त जानकारी”) दिखाता है। NVD, CNA की दी हुई CWE जानकारी को अपने संवर्धन के साथ दिखा सकता है। CWE लेबल को वर्गीकरण मेटाडेटा मानें, इस बात का प्रमाण नहीं कि रिकॉर्ड पूरी मूल वजह या श्रृंखला बताता है।