- CWE
- Sicherheit
- Grundlagen
Was eine CWE-ID über einen Bug verrät
CWE-IDs machen aus einem vagen Sicherheitsbefund eine präzise, nachverfolgbare Schwachstellenklasse. Kurzer Leitfaden zum Lesen und Priorisieren von Fixes.
· 5 Min. Lesezeit · Lina Source LLC
Die Common Weakness Enumeration (CWE) ist ein öffentlicher Katalog von Software-Schwachstellentypen, der von MITRE gepflegt wird. Wenn ein Bericht einen Befund als CWE-89 kennzeichnet, weiß jeder im Team genau, um welche Art von Bug es sich handelt: SQL-Injection.
Warum die ID wichtig ist
- Sie ist präzise: CWE-79 (Cross-Site Scripting) und CWE-601 (Open Redirect) sind beides Web-Bugs, erfordern aber unterschiedliche Fixes.
- Sie ist nachverfolgbar: Wer Befunde über die Zeit nach CWE zählt, sieht, ob eine Fehlerklasse tatsächlich verschwindet.
- Sie führt zu Handlungsempfehlungen: Jeder CWE-Eintrag verlinkt auf Beispiele, Erkennungsmethoden und Gegenmaßnahmen.
CWE ist kein Schweregrad
Eine CWE beschreibt die Art der Schwachstelle, nicht, wie schlimm diese konkrete Instanz ist. Eine SQL-Injection in einem Skript nur für Admins und eine in einem öffentlichen Such-Endpoint teilen sich CWE-89, bergen aber ein sehr unterschiedliches Risiko. Deshalb trägt jeder CodeAuditAgent-Befund sowohl eine CWE als auch einen Schweregrad, der auf der realen Ausnutzbarkeit basiert.
Die IDs, die Sie am häufigsten sehen
- CWE-89: SQL-Injection
- CWE-79: Cross-Site Scripting
- CWE-639: Umgehung der Autorisierung über einen vom Nutzer kontrollierten Schlüssel
- CWE-798: Verwendung hartcodierter Zugangsdaten
- CWE-918: Server-Side Request Forgery