CWE（共通脆弱性タイプ一覧）
Common Weakness Enumeration
きょうつうぜいじゃくせいたいぷいちらん
バッファオーバーフローやクロスサイトスクリプティングなど、脆弱性の「種類」を体系的に分類・列挙した一覧。個々の事象を識別するCVEに対し、原因となる作り込みのパターンを整理する点が異なり、セキュアプログラミングの指針に使われる。
Related
他の資格での定義
ソフトウェア及びハードウェアの脆弱性の種類を体系的に分類・一覧化した国際的な基準。JVNなどの脆弱性対策ポータルサイトで採用されている。バッファオーバーフロー、SQLインジェクションなどの脆弱性タイプを識別子で管理する。
ソフトウェア及びハードウェアの脆弱性の種類を体系的に分類・一覧化した国際的な基準。JVNなどの脆弱性対策ポータルサイトで採用されている。バッファオーバーフロー、SQLインジェクションなどの脆弱性タイプを識別子で管理する。
ソフトウェアやハードウェアの脆弱性を、その原因となる弱点の種類（タイプ）で分類した一覧で、MITREが管理する。「CWE-79」がクロスサイトスクリプティング、「CWE-89」がSQLインジェクションのように識別番号が付き、個々の脆弱性を指すCVEに対して、CWEは脆弱性の種類を指す。危険度の高い弱点をまとめたCWE Top 25も公表されている。
Past Exams
過去問での出題
過去問で 3 回出題（情報処理安全確保支援士試験 2・応用情報技術者試験 1）
出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「選択肢」は、問題文ではなく選択肢に出たものです。用語名で照合しているため、関係の薄い問題が含まれることがあります。
Related
関連キーワードの用語
脆弱性の深刻度をベンダーに依存しない共通の基準で数値化する評価手法。攻撃の難易度などを表す基本評価基準、時間経過で変わる現状評価基準、利用環境を加味する環境評価基準の3つの尺度から0.0〜10.0のスコアを算出する。
個別の製品に見つかった脆弱性そのものに「CVE-西暦-連番」形式の一意な識別番号を付ける仕組み。同じ脆弱性を各社が別名で呼ぶ混乱を避け、脆弱性情報データベースや診断ツールの間で情報を突き合わせられるようにする。
システムやアプリケーションを検査し、既知の脆弱性や設定不備が存在しないかを網羅的に洗い出す活動。ツールによる自動スキャンと技術者による手動診断があり、結果はCVSSなどで深刻度を付けて対策の優先順位付けに用いる。
自社製品やサービスの脆弱性を発見して報告した外部の研究者に、内容に応じた報奨金を支払う制度。社外の多様な視点を活用して発見機会を増やすとともに、脆弱性情報が闇市場に流れる前に届け出させる狙いがある。
脆弱性の深刻度を0.0〜10.0のスコアで定量的に評価するための国際的な基準。基本評価基準（脆弱性の技術的特性）、現状評価基準（攻撃コードの有無等）、環境評価基準（組織固有の影響）の3つの評価基準から構成される。
OSやソフトウェア、ハードウェアの製品名とバージョンを一意に表す共通の識別名の体系。脆弱性情報と自組織の資産を機械的に突き合わせるために用い、SCAPを構成する仕様の一つ。