CWE и CVE: тип уязвимости и конкретная дыра

Краткое объяснение разницы между CWE как типом уязвимости и CVE как конкретной уязвимостью в ПО.

CVE vs CWE. Вечно путают, а разница в 10 секунд. CWE - это вид уязвимости. Шаблон. Например CWE-89 это SQL-инъекция. Всего таких шаблонов около 900. Это как диагноз. CVE - это уже найденная дыра в реальном софте. Конкретный кейс. Например CVE-2023-44487 - уязвимость в протоколе HTTP/2. У нее есть номер, дата, описание и патч. Это как история болезни. Итого: CWE = какой тип проблемы CVE = где именно она случилась Поэтому сначала закрываешь конкретную CVE, а потом по ее CWE идешь и проверяешь весь остальной код на такие же ошибки. Все

Кратко (AI)

Пост объясняет разницу между CWE и CVE: CWE описывает тип уязвимости, а CVE обозначает конкретную найденную проблему в ПО. После устранения CVE предлагается проверить код на другие ошибки того же типа, используя связанную CWE.

CWE и CVE: тип уязвимости и конкретная дыра

Кратко (AI)

Обсуждение