CWE vs. CVE: qual é a diferença?

Página de referência

Resposta rápida

CWE identifica um tipo de fraqueza; CVE identifica um registro de vulnerabilidade. Uma fraqueza pode aparecer em muitos CVEs, um CVE pode envolver fraquezas encadeadas, e alguns registros CVE não têm mapeamento CWE.

Uma forma concreta de pensar nisso

CWE classifica uma fraqueza, enquanto um ID CVE identifica um registro específico de vulnerabilidade. A relação não é de um para um: a mesma fraqueza pode estar na origem de muitos CVEs, e um CVE pode envolver uma cadeia de fraquezas. A entrada CWE-126 da MITRE usa o Heartbleed (CVE-2014-0160) como exemplo: o tratamento inconsistente do tamanho (CWE-130) permitiu uma leitura além do limite do buffer (CWE-126). O CVE continua sendo um único registro de vulnerabilidade; os dois CWEs descrevem elos diferentes da cadeia de falha.

Como eles se relacionam neste site

Toda ExplainerPage no flawopen.com é organizada por CWE

A matriz classe de vulnerabilidade × linguagem (SQL Injection em Python, XSS em Java, etc.) é construída em torno de categorias CWE — o padrão geral e como evitá-lo, não o histórico de um produto específico.

Os relatos de CVE são uma camada separada e seletiva

Quando um CVE específico é significativo e amplamente relevante o bastante para merecer cobertura, ele ganha seu próprio relato que aponta de volta para sua classe CWE — mas nem todo CVE ganha um, já que a maioria é restrita a um único produto/versão.

FAQ

Quem mantém o CWE e o CVE?

A MITRE mantém a lista CWE. CWE e CVE são programas separados, com funções complementares; os registros CVE são redigidos por CVE Numbering Authorities (CNAs). O NVD é um programa separado do NIST que consome dados CVE e pode acrescentar seus próprios mapeamentos CWE e outros enriquecimentos. Um mapeamento do NVD não é automaticamente a classificação original da CNA.

Todo CVE tem um CWE?

Não. Um registro CVE pode não ter um mapeamento CWE específico. Por exemplo, o NVD mostra NVD-CWE-noinfo (“Informação insuficiente”) para CVE-2021-27823. O NVD pode exibir informações CWE fornecidas pela CNA junto com o próprio enriquecimento. Trate o rótulo CWE como metadado de classificação, não como prova de que o registro descreve toda a causa raiz ou a cadeia.

Referências

Veja também Mass assignment: riscos e listas seguras de campos Vazamento de estado serverless: isole dados por requisição PHP == e comparações de magic hash O bloco unsafe do Rust ainda é seguro? strncpy() é mais segura que strcpy()?