flawopen.com/CWE vs CVE
CWE vs CVE: apa bedanya?
CWE menyebut jenis kelemahan; CVE mengidentifikasi catatan kerentanan. Satu kelemahan dapat muncul pada banyak CVE, satu CVE dapat melibatkan kelemahan yang saling terkait, dan sebagian catatan CVE tidak memiliki pemetaan CWE.
Cara konkret memahaminya
CWE mengklasifikasikan kelemahan, sedangkan ID CVE mengidentifikasi catatan kerentanan tertentu. Hubungannya tidak satu-banding-satu: satu kelemahan dapat menjadi penyebab banyak CVE, dan satu CVE dapat melibatkan rangkaian kelemahan. Entri CWE-126 MITRE menggunakan Heartbleed (CVE-2014-0160) sebagai contoh: penanganan panjang yang tidak konsisten (CWE-130) memungkinkan pembacaan melewati batas buffer (CWE-126). CVE tetap satu catatan kerentanan; kedua CWE menjelaskan mata rantai kegagalan yang berbeda.
Bagaimana keduanya berkaitan di situs ini
Matriks kelas kerentanan × bahasa (SQL Injection di Python, XSS di Java, dll.) dibangun di sekitar kategori CWE — pola umum dan cara menghindarinya, bukan riwayat satu produk tertentu.
Ketika sebuah CVE cukup signifikan dan relevan secara luas hingga layak dibahas, ia mendapat ulasan tersendiri yang menautkan kembali ke kelas CWE-nya — tetapi tidak setiap CVE mendapatkannya, karena sebagian besar terbatas pada satu produk/versi.
FAQ
MITRE memelihara daftar CWE. CWE dan CVE adalah program terpisah dengan peran yang saling melengkapi; catatan CVE ditulis oleh CVE Numbering Authority (CNA). NVD adalah program NIST terpisah yang menggunakan data CVE dan dapat menambahkan pemetaan CWE serta pengayaan lainnya. Pemetaan NVD tidak otomatis merupakan klasifikasi awal dari CNA.
Tidak. Catatan CVE dapat tidak memiliki pemetaan CWE tertentu. Misalnya, NVD menampilkan NVD-CWE-noinfo (“Informasi Tidak Memadai”) untuk CVE-2021-27823. NVD dapat menampilkan informasi CWE dari CNA bersama pengayaan yang dibuatnya sendiri. Perlakukan label CWE sebagai metadata klasifikasi, bukan bukti bahwa catatan itu menjelaskan seluruh akar masalah atau rantainya.