CVE・CWEとは？

CVE・CWEの意味

CVEは個別の脆弱性に一意な識別番号を付ける仕組み、CWEは脆弱性を生む原因の「型」を分類した辞書。前者は個々の事象、後者は種類という粒度の違いがあり、深刻度を数値化するCVSSとの役割分担が問われる。

CVE・CWEの具体例

利用中のライブラリにCVE番号付きの脆弱性が公表されたら、CVSSの基本値で緊急度を判断し、適用可否を変更管理にかける。同時にCWE側で「入力検証不備」が繰り返し出ているなら、設計標準とレビュー観点を直す。

CVE・CWEは試験でどう引っ掛けられる？

CVEは深刻度を表さない単なる識別子で、深刻度はCVSSが示す。またCVEが付いていない脆弱性も存在するため、CVE一覧に無い＝安全ではない。CWEは製品固有の番号ではない点も混同しやすい。

CVE・CWEと関連する用語

• CVSS（共通脆弱性評価システム）
• 脆弱性情報データベース（CVE・JVN）
• ペネトレーションテスト／ファジング

CVE・CWEが出た過去問

• JVNなどの脆弱性情報サイトで採用されているCVE（Common Vulnerabilities and Exposures）識別子の説明はどれか。

  正解：製品に含まれる脆弱性を識別するための識別子

  要点：CVEは個々の脆弱性に付けられる世界共通の識別番号

  CVEは、公表されたソフトウェア製品の脆弱性一つ一つに世界共通の識別番号を付ける仕組みである。番号で指せるようになるため、複数のベンダーや情報サイトの間で同じ脆弱性を取り違えずに参照できる。

  出典：令和6年度 秋期 高度共通_午前I試験 am1 問14（IPA）