CWE-20入門

サマリ この記事の想定読者は、企業等の脆弱性ハンドリング担当者です。脆弱性情報にしばしば出てくるCWE-20の読み解き方を説明します。 追記（2024/11/26） 現在CWE-20の本家のサイトでは、Vulnerability Mapping: DISCOURAGED（脆弱性マッピング:非推奨）と表記されています。詳細を見ると、以下が記載されています。 Vulnerability Mapping Notes Usage: DISCOURAGED (this CWE ID should not be used to map to real-world vulnerabilities) Reason: Frequent Misuse Rationale: CWE-20 is commonly misused in low-information vulnerability reports w

[NOV1975]

こないだの(IPA批判の)よくわからん記事がなんでわからんのかわかった気がする。

[kenichiice]

「CWEはCommon Weakness Enumerationの略で、日本語では「共通脆弱性タイプ一覧」と訳されています。」「本稿のテーマCWE-20は、インジェクションも包含する大分類になっています。」

[rryu]

元の図ではCWE-74インジェクションはCWE-116 Improper Encoding or Escaping of Outputを介してCWE-19データ操作に直接ぶら下がっているので、IPAの人がまさにnoteで語られている混乱させる人な感じがする。

[hdkINO33]

“ということで、CWE-20が使われるケースの多くは、脆弱性公表側の怠慢や隠蔽意図によるケースが多く、悪意がないケースとしては「分類の難しいその他のケース」ということになるかと思います。”

[pathtraversal]

ほんと、なんでもかんでもCWE-20にするのやめて欲しい

[ockeghem]

脆弱性ハンドリング担当者向けにCWE-20の解説記事を書きました