CVE・CWEとは？

CVE・CWEの意味

CVEは個別の脆弱性に一意な識別番号を付ける仕組み、CWEは脆弱性を生む原因の「型」を分類した辞書。前者は個々の事象、後者は種類という粒度の違いがあり、深刻度を数値化するCVSSとの役割分担が問われる。

CVE・CWEの具体例

利用中のライブラリにCVE番号付きの脆弱性が公表されたら、CVSSの基本値で緊急度を判断し、適用可否を変更管理にかける。同時にCWE側で「入力検証不備」が繰り返し出ているなら、設計標準とレビュー観点を直す。

CVE・CWEは試験でどう引っ掛けられる？

CVEは深刻度を表さない単なる識別子で、深刻度はCVSSが示す。またCVEが付いていない脆弱性も存在するため、CVE一覧に無い＝安全ではない。CWEは製品固有の番号ではない点も混同しやすい。

CVE・CWEと関連する用語

• CVSS（共通脆弱性評価システム）
• JVN／NVD（脆弱性情報データベース）
• ペネトレーションテスト／ファジング