CWE（共通脆弱性タイプ一覧）

バッファオーバーフローやクロスサイトスクリプティングなど、脆弱性の「種類」を体系的に分類・列挙した一覧。個々の事象を識別するCVEに対し、原因となる作り込みのパターンを整理する点が異なり、セキュアプログラミングの指針に使われる。

ソフトウェア及びハードウェアの脆弱性の種類を体系的に分類・一覧化した国際的な基準。JVNなどの脆弱性対策ポータルサイトで採用されている。バッファオーバーフロー、SQLインジェクションなどの脆弱性タイプを識別子で管理する。

ソフトウェア及びハードウェアの脆弱性の種類を体系的に分類・一覧化した国際的な基準。JVNなどの脆弱性対策ポータルサイトで採用されている。バッファオーバーフロー、SQLインジェクションなどの脆弱性タイプを識別子で管理する。

個々の脆弱性に一意の番号を付けて識別する仕組み。「CVE-2024-12345」のように公表年と連番で表し、米国のMITREが運営して、採番機関（CNA）とともに番号を割り当てている。製品ベンダー、脆弱性データベース、セキュリティ製品が同じ番号で同じ脆弱性を指せるため、情報の突合せが容易になる。

脆弱性の深刻度を、ベンダーに依存しない共通の基準で0.0〜10.0の数値で評価する仕組み。攻撃元区分、攻撃の複雑さ、機密性・完全性・可用性への影響などから算出する基本評価基準を中心に、攻撃コードの出現状況などを加味する評価基準や、利用者の環境を反映する環境評価基準がある。FIRSTが管理し、v3.1と2023年に公表されたv4.0が使われている。

確保したメモリ領域を超えてデータを書き込ませ、プログラムの制御を奪うバッファオーバーフロー攻撃への対策。入力データの長さを検査する、境界を確認しない危険な関数を使わない、メモリ安全な言語を選ぶといったコーディング上の対策に加え、スタックの破壊を検知するカナリア、データ領域でのコードの実行を禁止するDEP、メモリの配置をランダムにするASLRといった、OSやコンパイラの防御機構を組み合わせる。

脆弱性の識別や設定の点検といったセキュリティ管理を自動化するために、情報の表現形式を標準化した仕様群。NISTが策定し、脆弱性を識別するCVE、製品を識別するCPE、設定項目を識別するCCE、深刻度を評価するCVSS、点検の手順を記述するXCCDFやOVALなどで構成される。共通の形式で表すことで、異なるツールの間で点検結果を比較・共有できる。

システムやアプリケーションに既知の脆弱性や設定の不備がないかを、ツールや手作業で網羅的に検査すること。Webアプリケーション診断、ネットワークやOSを対象とするプラットフォーム診断などがあり、リリース前や定期的に実施して、見つかった問題を深刻度とともに報告し修正につなげる。実際に侵入を試みて目的を達成できるかを確かめるペネトレーションテストとは目的が異なる。

利用者が本来許されていない情報や機能にアクセスできてしまう脆弱性。URLやパラメータの書換えによる他人のデータの参照、一般利用者による管理機能の実行、サーバ側での認可チェックの欠落などが該当し、OWASP Top 10では最上位のリスクに挙げられている。