A-1セキュリティ実装技術・評価 · セキュリティ評価

CVE（共通脆弱性識別子）

Common Vulnerabilities and Exposures

しーぶいいー

個々の脆弱性に一意の番号を付けて識別する仕組み。「CVE-2024-12345」のように公表年と連番で表し、米国のMITREが運営して、採番機関（CNA）とともに番号を割り当てている。製品ベンダー、脆弱性データベース、セキュリティ製品が同じ番号で同じ脆弱性を指せるため、情報の突合せが容易になる。

#脆弱性 #MITRE #CWE #CVSS

共有:

他の資格での定義

APCVE（共通脆弱性識別子）

個別の製品に見つかった脆弱性そのものに「CVE-西暦-連番」形式の一意な識別番号を付ける仕組み。同じ脆弱性を各社が別名で呼ぶ混乱を避け、脆弱性情報データベースや診断ツールの間で情報を突き合わせられるようにする。

SCCVE

個々の脆弱性に対して一意のID（CVE-ID）を付与する、国際的な脆弱性識別の仕組み。MITRE社が管理し、脆弱性情報の共有や対策の標準化に貢献する。CVE-ID（例: CVE-2024-12345）により脆弱性を一意に特定できる。

PD-SCVE

Past Exams

過去問での出題

過去問で 10 回出題（情報処理安全確保支援士試験 7・応用情報技術者試験 2・高度試験午前Ⅰ 1）

出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「選択肢」は、問題文ではなく選択肢に出たものです。用語名で照合しているため、関係の薄い問題が含まれることがあります。

関連キーワードの用語

A-1CWE（共通脆弱性タイプ一覧）

ソフトウェアやハードウェアの脆弱性を、その原因となる弱点の種類（タイプ）で分類した一覧で、MITREが管理する。「CWE-79」がクロスサイトスクリプティング、「CWE-89」がSQLインジェクションのように識別番号が付き、個々の脆弱性を指すCVEに対して、CWEは脆弱性の種類を指す。危険度の高い弱点をまとめたCWE Top 25も公表されている。

A-1CVSS（共通脆弱性評価システム）

脆弱性の深刻度を、ベンダーに依存しない共通の基準で0.0〜10.0の数値で評価する仕組み。攻撃元区分、攻撃の複雑さ、機密性・完全性・可用性への影響などから算出する基本評価基準を中心に、攻撃コードの出現状況などを加味する評価基準や、利用者の環境を反映する環境評価基準がある。FIRSTが管理し、v3.1と2023年に公表されたv4.0が使われている。

A-1SCAP（セキュリティ設定共通化手順）

脆弱性の識別や設定の点検といったセキュリティ管理を自動化するために、情報の表現形式を標準化した仕様群。NISTが策定し、脆弱性を識別するCVE、製品を識別するCPE、設定項目を識別するCCE、深刻度を評価するCVSS、点検の手順を記述するXCCDFやOVALなどで構成される。共通の形式で表すことで、異なるツールの間で点検結果を比較・共有できる。

A-1脆弱性診断

システムやアプリケーションに既知の脆弱性や設定の不備がないかを、ツールや手作業で網羅的に検査すること。Webアプリケーション診断、ネットワークやOSを対象とするプラットフォーム診断などがあり、リリース前や定期的に実施して、見つかった問題を深刻度とともに報告し修正につなげる。実際に侵入を試みて目的を達成できるかを確かめるペネトレーションテストとは目的が異なる。

A-1認可・権限・アクセス制御の不備

利用者が本来許されていない情報や機能にアクセスできてしまう脆弱性。URLやパラメータの書換えによる他人のデータの参照、一般利用者による管理機能の実行、サーバ側での認可チェックの欠落などが該当し、OWASP Top 10では最上位のリスクに挙げられている。

A-1不適切な入力確認

外部から受け取った入力値の形式、長さ、範囲、文字種などを適切に検証しないまま処理に使ってしまう脆弱性。SQLインジェクション、OSコマンドインジェクション、バッファオーバーフローなど多くの攻撃の原因となり、CWEではCWE-20として分類されている。