La Common Weakness Enumeration (CWE) è un sistema di categorizzazione delle debolezze hardware e software che potrebbero generare vulnerabilità informatiche. Concepita per comprendere meglio i difetti nel software e nell'hardware e creare strumenti automatizzati che possono essere utilizzati per identificarli, correggerli e prevenirli, si pone i seguenti obiettivi: gestire la tassonomia comune per la classificazione delle vulnerabilità comuni del software relativamente ad architettura, progettazione e codice; fornire una classificazione standard per tool di protezione del software; fornire una linea di base da cui partire per aiutare a identificare, attenuare e prevenire questo tipo di debolezza software.
Organizzazione e diffusione Il progetto è gestito in forma collaborativa da un'ampia community di soggetti, tra cui: organizzazioni governative statunitensi: è sponsorizzato dal Dipartimento della sicurezza interna degli Stati Uniti d'America (DHS) e dalla Cybersecurity and Infrastructure Security Agency (CISA), collaborano alla gestione il Team di pronto intervento informatico degli Stati Uniti d'America (US-CERT) e la Divisione nazionale per la sicurezza informatica del DHS.; aziende private: è gestito dalla Mitre Corporation e nel consiglio di amministrazione siedono esponenti di NVIDIA, Red Hat, CISQ, Intel; istituti accademici, educativi o di ricerca: la University of Nebraska Omaha, il SANS e la Homeland Security Systems Engineering and Development Institute (HSSEDI).
Pur essendo un progetto nato e sviluppato negli USA, si è successivamente diffuso globalmente, diventando un framework di riferimento per la sicurezza informatica, in particolare per quanto riguarda la CWE/SANS Top 25, ovvero la lista delle 25 vulnerabilità informatiche più pericolose. I gruppi di lavoro e di interesse sono costituiti da forum pubblici in cui chiunque può partecipare, discutere, e collaborare per promuovere l'adozione della CWE e aumentarne la diffusione.
L'elenco e la tassonomia di classificazione associata è stata pubblicata per la prima volta nel 2006. Il 3 aprile 2025 è stata pubblicata la versione 4.17 dello standard CWE.
La CWE ha oltre 600 categorie, tra cui classi per buffer overflow, errori di attraversamento di percorsi/directory tree, race condition, cross-site scripting, password hardcoded e numeri casuali non sicuri.
Compatibilità con la CWE Fino al 16/04/2024, la CWE offriva un programma di compatibilità, che consentiva di esaminare un servizio o un prodotto e registrarlo ufficialmente come "compatibile con la CWE" () o "efficace secondo la CWE" (). Il programma aiutava le organizzazioni a selezionare gli strumenti software più adatti e a individuare i possibili punti deboli e il loro possibile impatto.
Per ottenere lo status di compatibilità CWE, un prodotto o un servizio doveva soddisfare 4 dei seguenti 6 requisiti. Ricercabilità per CWE Gli utenti possono cercare elementi di sicurezza utilizzando gli identificatori della CWEOutput CWE Gli elementi di sicurezza presentati agli utenti includono, o consentono agli utenti di ottenere, gli identificatori della CWE associati Precisione della mappatura Gli elementi di sicurezza rimandano accuratamente agli identificatori della CWE appropriati Documentazione CWE La documentazione del prodotto o servizio descrive la CWE, la compatibilità con la CWE e come viene utilizzata la funzionalità correlata alla CWE nel prodotto o servizio Copertura della CWE Per la compatibilità con la CWE e l'efficacia secondo la CWE, la documentazione del prodotto o servizio elenca esplicitamente gli identificatori della CWE per i quali il prodotto o servizio rivendica copertura ed efficacia, individuati nel software Risultati del test CWE Per l'efficacia secondo la CWE, i risultati dei test sul prodotto o servizio che mostrano i risultati della valutazione del software secondo gli identificatori della CWE sono pubblicati sul sito web della CWE
Critiche alla CWE Alcuni ricercatori ritengono che, pur rappresentando un notevole sforzo comunitario, la CWE contenga delle descrizioni delle vulnerabilità inaccurate, incomplete, incoerenti o ambigue. Per evitare o ridurre il problema, hanno proposto un approccio diverso alla classificazione delle vulnerabilità, puntando ad una "organizzazione naturale" come in una sorta di tavola periodica degli elementi. Ciò potrebbe aiutare la comunità a descrivere meglio e spiegare più dettagliatamente la natura e le classi delle vulnerabilità, con conseguenti miglioramenti nella loro rilevazione, mitigazione e prevenzione, e prevedere nuove classi di debolezze e vulnerabilità. Usando come base la CWE, hanno sviluppato definizioni più precise e accurate, e perfezionato ed esteso la classificazione.
Note
Voci correlate Common Vulnerabilities and Exposures (CVE) Common Vulnerability Scoring System (CVSS) National Vulnerability Database
Collegamenti esterni
Categoria:Sicurezza di rete Categoria:Standard informatici