CWEとは？

CWEの意味

バッファオーバフロー、SQLインジェクション、不適切な認証といった、脆弱性の原因となる弱点の種類を体系的に分類・列挙した一覧。個別の脆弱性ではなく類型を扱う。

CWEの具体例

脆弱性診断で挙がった28件の指摘をCWEで分類すると、CWE-89（SQLインジェクション）とCWE-79（XSS）で7割を占めた。個別修正で終わらせず、共通のDBアクセス層とテンプレートのエスケープを整備し、弱点の類型ごとに再発を止めた。

CWEは試験でどう引っ掛けられる？

CVEと取り違えやすい。CVEは個々の製品に見つかった具体的な脆弱性1件ごとに付く識別子、CWEは「SQLインジェクション」「バッファオーバフロー」といった弱点の種類（型）の分類。深刻度を数値で表すのはCVSS、製品を識別するのはCPEで、それぞれ役割が違う。

CWEと関連する用語

• CVE
• セキュアプログラミング

CWEが出た過去問

• JVNなどの脆弱性対策ポータルサイトで採用されているCWEはどれか。

  正解：ソフトウェア及びハードウェアの脆弱性の種類の一覧

  要点：CWEは脆弱性の原因となる弱点の種類を分類した一覧

  CWEは、バッファオーバフローや不適切な入力検証といったソフトウェア・ハードウェアの弱点の種類を体系的に分類し、識別子を付けた一覧である。個々の製品に存在する具体的な脆弱性を指すCVEに対し、CWEはその原因となる弱点の型を表すため、傾向分析や開発時の作り込み防止に役立つ。脆弱性情報のポータルでは、報告された脆弱性がどの弱点分類に当たるかをCWE番号で示している。

  出典：令和6年度 春期 情報処理安全確保支援士試験 am2 問9（IPA）

• MITREの役割に該当するものはどれか。

  正解：CVEの事務局であり,サイバー攻撃のプロセスを記述したナレッジベースの公開をする。

  要点：MITREはCVEの事務局でATT&CKなども公開する

  MITREは米国の非営利組織で、脆弱性に一意の識別子を付けるCVEの採番・管理を担う事務局として知られる。あわせて、攻撃者が実際に用いる戦術と技術を体系化したナレッジベースであるATT&CKや、弱点の分類であるCWEなども公開している。標準やガイドラインを発行するNISTとは役割が異なるので、混同しないよう区別しておきたい。

  出典：令和7年度 秋期 情報処理安全確保支援士試験 am2 問12（IPA）