JVN・CVE・CWEとは？

JVN・CVE・CWEの意味

脆弱性情報を共通の言葉で扱うための識別子・データベース。CVEは個々の脆弱性に付ける世界共通の番号、CWEは脆弱性の種類（原因の型）を分類した一覧、JVNは日本国内向けに対策情報を提供する仕組み。試験では、それぞれが「何を識別するか」の違いが問われる。

JVN・CVE・CWEの具体例

利用中のライブラリにCVE-2024-XXXXXが公表され、原因の型はCWE-89（SQLインジェクション）だった。JVNで国内向けの回避策と修正版の有無を確認し、修正版が未リリースだったため、当面はWAFの遮断ルールで暫定対処し、修正版公開後に恒久対応する計画へ切り替えた。

JVN・CVE・CWEは試験でどう引っ掛けられる？

CVEとCWEを取り違えやすい。CVEは「この製品のこの1件」を指す個別の番号、CWEは「入力値の検証不足」といった原因の分類で、粒度がまったく違う。またCVSSは深刻度を数値化する尺度であり、識別子ではない点も混同しやすい。

JVN・CVE・CWEと関連する用語

• CVSS（共通脆弱性評価システム）
• 脆弱性診断
• SAST・DAST（静的／動的セキュリティテスト）

JVN・CVE・CWEが出た過去問

• JVNなどの脆弱性情報サイトで採用されているCVE（Common Vulnerabilities and Exposures）識別子の説明はどれか。

  正解：製品に含まれる脆弱性を識別するための識別子

  要点：CVEは個々の脆弱性に付けられる世界共通の識別番号

  CVEは、公表されたソフトウェア製品の脆弱性一つ一つに世界共通の識別番号を付ける仕組みである。番号で指せるようになるため、複数のベンダーや情報サイトの間で同じ脆弱性を取り違えずに参照できる。

  出典：令和6年度 秋期 高度共通_午前I試験 am1 問14（IPA）