Загальний перелік вразливостей (, CWE) — система категорій для слабких місць і вразливостей програмного забезпечення. Він підтримується проектом спільноти, метою якого є розуміння недоліків програмного забезпечення та створення автоматизованих інструментів, які можна використовувати для виявлення, виправлення та запобігання цих недоліків. Проект спонсорується , ним керує , за підтримки та Національного управління кібербезпеки Міністерства національної безпеки США.National Vulnerabilities Database CWE Slice at nist.gov
Версія 4.5 стандарту CWE була випущена в липні 2021 року.
Станом на 2025 рік актуальною є версия стандарту CWE 4.17, яка стала доступною 3 квітня 2025 року.
CWE має понад 600 категорій, включаючи класи для переповнення буфера, помилки обходу дерева шляхів/каталогів, стан гонки, міжсайтовий скриптинг, жорстко закодовані паролі та небезпечну генерацію випадкових чисел.The Bugs Framework (BF) / Common Weakness Enumeration (CWE) at nist.gov
Приклади Категорія CWE 121 призначена для переповнення буфера у стеку.
Сумісність із CWE Програма сумісності Common Weakness Enumeration (CWE) дозволяє перевіряти послугу або продукт і реєструвати їх як офіційні «CWE-сумісні» та «CWE-ефективні». Програма допомагає організаціям вибрати правильні програмні інструменти та дізнатися про можливі слабкі сторони та їх можливий вплив.
Щоб отримати статус сумісного з CWE, продукт або послуга повинні відповідати 4 з 6 вимог, наведених нижче:
Пошук по CWEкористувачі можуть здійснювати пошук елементів безпеки за допомогою ідентифікаторів CWEВивід CWEелементи безпеки, представлені користувачам, включають або дозволяють користувачам отримувати пов’язані ідентифікатори CWEТочність відображенняелементи безпеки точно посилаються на відповідні ідентифікатори CWEДокументація CWEдокументація щодо можливостей описує CWE, сумісність із CWE та як використовуються пов’язані з CWE функціональні можливостіПокриття CWEдля CWE-сумісності та CWE-ефективності, документація можливості чітко перелічує CWE-ID, які підтверджують можливість покриття та ефективність щодо розташування в програмному забезпеченніРезультати тестування CWEдля CWE-ефективності, доступні результати тестування, що показують результати оцінки програмного забезпечення для CWE, розміщені на вебсайті CWE
Станом на вересень 2019 року існує 56 організацій, які розробляють та підтримують продукти та послуги, які отримали статус CWE Compatible.
Дослідження, критика та нові розробки Деякі дослідники вважають, що двозначності в CWE можна уникнути або зменшити.Paul E. Black, Irena V. Bojanova, Yaacov Yesha, Yan Wu. 2015. Towards a “Periodic Table” of Bugs
Див. також Common Vulnerabilities and Exposures (CVE) Загальна система оцінки вразливостей Національна база даних вразливостей
Примітки
Джерела
Certifying Applications for Known Security Weaknesses. The Common Weakness Enumeration (CWE) Effort // 6 March 2007