Common Weakness Enumeration

La Common Weakness Enumeration (CWE) è un sistema di categorizzazione delle debolezze hardware e software che potrebbero generare vulnerabilità informatiche. Concepita per comprendere meglio i difetti nel software e nell'hardware e creare strumenti automatizzati che possono essere utilizzati per identificarli, correggerli e prevenirli, ^[1] si pone i seguenti obiettivi:^[2]

• gestire la tassonomia comune per la classificazione delle vulnerabilità comuni del software relativamente ad architettura, progettazione e codice;
• fornire una classificazione standard per tool di protezione del software;
• fornire una linea di base da cui partire per aiutare a identificare, attenuare e prevenire questo tipo di debolezza software.

Il progetto è gestito in forma collaborativa da un'ampia community di soggetti, tra cui:^[2]

• organizzazioni governative statunitensi: è sponsorizzato dal Dipartimento della sicurezza interna degli Stati Uniti d'America (DHS) e dalla Cybersecurity and Infrastructure Security Agency (CISA), collaborano alla gestione il Team di pronto intervento informatico degli Stati Uniti d'America (US-CERT) e la Divisione nazionale per la sicurezza informatica del DHS.^[3][4];
• aziende private: è gestito dalla Mitre Corporation e nel consiglio di amministrazione siedono esponenti di NVIDIA, Red Hat, CISQ, Intel;^[5]
• istituti accademici, educativi o di ricerca: la University of Nebraska Omaha, il SANS e la Homeland Security Systems Engineering and Development Institute (HSSEDI).^[6]

Pur essendo un progetto nato e sviluppato negli USA, si è successivamente diffuso globalmente, diventando un framework di riferimento per la sicurezza informatica,^{[2][7][8][9][10]} in particolare per quanto riguarda la CWE/SANS Top 25, ovvero la lista delle 25 vulnerabilità informatiche più pericolose.^[11] I gruppi di lavoro e di interesse sono costituiti da forum pubblici in cui chiunque può partecipare, discutere, e collaborare per promuovere l'adozione della CWE e aumentarne la diffusione.^[1]

L'elenco e la tassonomia di classificazione associata è stata pubblicata per la prima volta nel 2006.^[12] Il 3 aprile 2025 è stata pubblicata la versione 4.17 dello standard CWE.^[13]

La CWE ha oltre 600 categorie, tra cui classi per buffer overflow, errori di attraversamento di percorsi/directory tree, race condition, cross-site scripting, password hardcoded e numeri casuali non sicuri.^[14]

Fino al 16/04/2024, la CWE offriva un programma di compatibilità, che consentiva di esaminare un servizio o un prodotto e registrarlo ufficialmente come "compatibile con la CWE" (in inglese CWE-Compatible) o "efficace secondo la CWE" (in inglese CWE-Effective). Il programma aiutava le organizzazioni a selezionare gli strumenti software più adatti e a individuare i possibili punti deboli e il loro possibile impatto.

Per ottenere lo status di compatibilità CWE, un prodotto o un servizio doveva soddisfare 4 dei seguenti 6 requisiti.

Alcuni ricercatori ritengono che, pur rappresentando un notevole sforzo comunitario, la CWE contenga delle descrizioni delle vulnerabilità inaccurate, incomplete, incoerenti o ambigue. Per evitare o ridurre il problema, hanno proposto un approccio diverso alla classificazione delle vulnerabilità, puntando ad una "organizzazione naturale" come in una sorta di tavola periodica degli elementi. Ciò potrebbe aiutare la comunità a descrivere meglio e spiegare più dettagliatamente la natura e le classi delle vulnerabilità, con conseguenti miglioramenti nella loro rilevazione, mitigazione e prevenzione, e prevedere nuove classi di debolezze e vulnerabilità. Usando come base la CWE, hanno sviluppato definizioni più precise e accurate, e perfezionato ed esteso la classificazione. ^[15]

• Common Vulnerabilities and Exposures (CVE)
• Common Vulnerability Scoring System (CVSS)
• National Vulnerability Database

Portale Sicurezza informatica: accedi alle voci di Wikipedia che trattano di sicurezza informatica