CWE观点:解决的弱点SEI CERT C编码标准
 客观的观众的关系
下面的图显示了树状之间的关系在不同级别的抽象上存在的弱点。在最高的层次上,类别和支柱存在弱点。类别(不是技术上的缺点)是特殊CWE条目用于集团弱点,共享一个共同的特点。柱子是描述的弱点在最抽象的时尚。下面这些顶级条目的弱点是不同程度的抽象。类仍然非常抽象,通常独立于任何特定的语言或技术。基础水平的弱点是用来提供一个更具体的类型的弱点。变量是一个弱点,在很低的水平的细节,描述通常局限于一个特定的语言或技术。链是一系列的缺点,必须可以连续产生可利用的漏洞。而复合的缺点是一组必须同时在场,以产生一个可利用的漏洞。
显示详细信息:
1154 - SEI CERT弱点解决的C编码标准
 类别——CWE条目包含一组其他条目,共享一个共同的特点。SEI CERT 01 C编码标准指导方针。预处理(预)- (1155)
弱点这类相关的规则和建议的预处理(预)部分SEI CERT C编码标准。
类别——CWE条目包含一组其他条目,共享一个共同的特点。SEI CERT 02 C编码标准指导方针。声明和初始化(DCL)- (1156)
弱点这类相关的规则和建议的声明和初始化(DCL)部分SEI CERT C编码标准。
 Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。返回堆栈变量的地址- (562)
一个函数返回一个堆栈变量的地址,这将导致意想不到的程序行为,通常的形式崩溃。
类别——CWE条目包含一组其他条目,共享一个共同的特点。SEI CERT C编码标准- 03指导方针。表达式(EXP)- (1157)
弱点这类相关的规则和建议的表达式(EXP)部分SEI CERT C编码标准。
 类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。依赖未定义不明,或实现定义的行为- (758)
产品使用API函数,数据结构,或其他实体的方式依赖于属性并不总是保证持有实体。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。使用未初始化资源- (908)
产品使用或访问资源尚未初始化。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。空指针废弃- (476)
应用程序时出现空指针废弃取消引用指针,它预计将是有效的,但是是空的,通常导致崩溃或退出。NPD零deref空指针
 链——一个复合元素是一个序列的两个或两个以上的独立的缺点,可以在软件中紧密联系在一起。一个弱点,X,可以直接创建所必需的条件导致另一个弱点,Y,进入一个脆弱的状态。,当这一切发生的时候,CWE指X作为“主”Y, Y是“合成”X连锁可能涉及两个以上缺点,在某些情况下,他们可能有一个树状结构。检查返回值为NULL指针- (690)
产品后不检查错误调用函数可以返回一个空指针如果函数失败,导致合成NULL指针。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。函数调用与指定参数不正确- (628)
产品调用一个函数,程序,或常规参数不正确地指定,导致always-incorrect行为和合成的弱点。
 变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。函数调用的参数的数量不正确- (685)
产品调用一个函数,程序,或常规,但是调用者指定太多的参数,或过少的参数,这可能会导致未定义的行为和结果的弱点。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。函数调用与不正确的参数类型- (686)
产品调用一个函数、过程或程序,但调用者指定一个论点是错误的数据类型,这可能会导致合成的弱点。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。访问资源的使用不兼容的类型(类型混淆)- (843)
产品分配和初始化一个指针等资源,对象,或变量使用一个类型,但后来访问该资源使用与原始类型不兼容的类型。对象类型的困惑
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不正确类型转换或演员- (704)
产品不正确地转换为一个对象,资源,或结构从一个类型到另一个类型。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不当的操作限制的范围内一个内存缓冲区- (119)
产品执行操作内存缓冲区,但它可以从磁盘读取或写入的内存位置之外的目标缓冲区的边界。缓冲区溢出缓冲区溢出内存安全
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。禁止入内的读- (125)
产品读取数据过去,一开始,或之前预期的缓冲区。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。使用不正确的操作符- (480)
产品不小心使用了错误的操作符,它改变了逻辑在安全相关的方面。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。分配,而不是比较- (481)
代码使用一个操作符转让意向时进行比较。
类别——CWE条目包含一组其他条目,共享一个共同的特点。SEI CERT 04 C编码标准指导方针。整数(INT)- (1158)
弱点这类相关的规则和建议的整数(INT)部分SEI CERT C编码标准。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。整数溢出或概括的- (190)
产品执行的计算可以产生一个整数溢出或概括,当逻辑假设得到的值总是大于原始值。这可以介绍其他弱点当计算用于资源管理或执行控制。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不正确的缓冲区大小的计算- (131)
产品不正确计算时使用的大小分配一个缓冲区,这可能会导致缓冲区溢出。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。整数下溢(包装或概括)- (191)
产品减去一个值从另一个角度来看,这样的结果小于最低容许整型值,产生的值不等于正确的结果。整数下溢
链——一个复合元素是一个序列的两个或两个以上的独立的缺点,可以在软件中紧密联系在一起。一个弱点,X,可以直接创建所必需的条件导致另一个弱点,Y,进入一个脆弱的状态。,当这一切发生的时候,CWE指X作为“主”Y, Y是“合成”X连锁可能涉及两个以上缺点,在某些情况下,他们可能有一个树状结构。整数溢出缓冲区溢出- (680)
产品执行的计算来决定分配多少内存,但可能出现整数溢出,导致比预期的更少的内存分配,导致缓冲区溢出。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。整数强制错误- (192)
整数强制是指一组相关的缺陷类型铸造、原始数据类型的扩展,或截断。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。数字截断误差- (197)
截断误差发生当一个原始的小一号的原始和转换数据丢失。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不正确的数值类型之间的转换- (681)
当从一个数据类型转换到另一个,比如长整数,数据可以省略或翻译的方式产生意想不到的价值。如果使用生成的值在一个敏感的情况下,就可能发生危险的行为。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不正确类型转换或演员- (704)
产品不正确地转换为一个对象,资源,或结构从一个类型到另一个类型。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。意想不到的符号扩展- (194)
产品上执行一个操作数,导致它是符号扩展时转变成一个更大的数据类型。当原始号码是负的,这可以产生意想不到的价值,导致合成的弱点。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。签署无符号转换错误- (195)
产品使用原始签署和执行一个无符号的原始,可以产生意想不到的价值,如果签署了原始的价值不能使用无符号来表示原始。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。除以零- (369)
这个产品值除以零。
 支柱——一个弱点是最抽象类型的弱点和代表一个主题类/基地/变体相关弱点。支柱是不同于一个类别作为支柱技术上仍然是一种弱点,描述了一个错误,而一个类别代表一个共同特征用于组相关的东西。错误的计算- (682)
产品执行计算,生成错误或意想不到的结果,后来用于强调安全的决策或资源管理。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。依赖未定义不明,或实现定义的行为- (758)
产品使用API函数,数据结构,或其他实体的方式依赖于属性并不总是保证持有实体。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。分配一个固定地址的指针- (587)
产品设置一个指针指向一个特定的地址而不是NULL或0。
类别——CWE条目包含一组其他条目,共享一个共同的特点。SEI CERT C编码标准- 05指导方针。浮点(FLP)- (1159)
弱点这类相关的规则和建议的浮点(FLP)部分SEI CERT C编码标准。
支柱——一个弱点是最抽象类型的弱点和代表一个主题类/基地/变体相关弱点。支柱是不同于一个类别作为支柱技术上仍然是一种弱点,描述了一个错误,而一个类别代表一个共同特征用于组相关的东西。错误的计算- (682)
产品执行计算,生成错误或意想不到的结果,后来用于强调安全的决策或资源管理。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。未经检查的错误条件- (391)
(计划在弃用。看到维修笔记和考虑cwe - 252, cwe - 248,或cwe - 1069。)忽略异常和其他错误条件可能允许攻击者产生异常行为引起注意。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不正确的数值类型之间的转换- (681)
当从一个数据类型转换到另一个,比如长整数,数据可以省略或翻译的方式产生意想不到的价值。如果使用生成的值在一个敏感的情况下,就可能发生危险的行为。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。数字截断误差- (197)
截断误差发生当一个原始的小一号的原始和转换数据丢失。
类别——CWE条目包含一组其他条目,共享一个共同的特点。SEI CERT C编码标准- 06指导方针。数组(ARR)- (1160)
弱点这类相关的规则和建议的数组(ARR)部分SEI CERT C编码标准。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不当的操作限制的范围内一个内存缓冲区- (119)
产品执行操作内存缓冲区,但它可以从磁盘读取或写入的内存位置之外的目标缓冲区的边界。缓冲区溢出缓冲区溢出内存安全
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。不当的验证数组索引- (129)
产品使用不受信任的输入在计算或使用数组索引,但是产品不验证或不正确验证索引,确保索引引用数组中的一个有效位置。禁止入内的数组索引index-out-of-range数组索引下溢
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。之前访问的内存位置缓冲区的开始- (786)
产品读取或写入缓冲区使用索引或指针,引用一个内存位置之前缓冲区的开始。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。Write-what-where条件- (123)
任何条件,即攻击者有能力写一个任意值到任意位置,通常作为一个缓冲区溢出的结果。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。禁止入内的读- (125)
产品读取数据过去,一开始,或之前预期的缓冲区。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。依赖未定义不明,或实现定义的行为- (758)
产品使用API函数,数据结构,或其他实体的方式依赖于属性并不总是保证持有实体。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。使用指针减法来确定尺寸- (469)
产品减去一个指针从另一个为了确定大小,但是这个计算可以是不正确的,如果不存在于相同的内存块的指针。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。基于堆栈缓冲区溢出- (121)
基于堆栈的缓冲区溢出的条件是一个缓冲的条件在堆栈上分配(即覆盖。,很少是一个局部变量或参数的函数)。堆栈溢出
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。缓冲区长度值不正确的访问- (805)
产品使用顺序操作读或写一个缓冲,但它使用一个不正确的长度值,使访问内存缓冲区的边界之外。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不正确的指针扩展- (468)
在C和c++中,常常会不小心把错误的记忆由于当隐式数学操作的语义扩展。
类别——CWE条目包含一组其他条目,共享一个共同的特点。07年SEI CERT C编码标准,指导方针。字符和字符串(STR)- (1161)
弱点这类相关的规则和建议的字符和字符串(STR)部分SEI CERT C编码标准。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。缓冲区复制没有检查输入的大小(经典的缓冲区溢出)- (120)
产品输入缓冲区复制到输出缓冲区没有验证输入缓冲区的大小小于输出缓冲区的大小,导致缓冲区溢出。经典的缓冲区溢出无限的转移
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不当的操作限制的范围内一个内存缓冲区- (119)
产品执行操作内存缓冲区,但它可以从磁盘读取或写入的内存位置之外的目标缓冲区的边界。缓冲区溢出缓冲区溢出内存安全
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。基于堆栈缓冲区溢出- (121)
基于堆栈的缓冲区溢出的条件是一个缓冲的条件在堆栈上分配(即覆盖。,很少是一个局部变量或参数的函数)。堆栈溢出
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。基于堆的缓冲区溢出- (122)
堆溢出条件是缓冲区溢出,缓冲,可以覆盖在堆中分配的内存,通常这意味着缓冲区分配使用等常规malloc ()。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。Write-what-where条件- (123)
任何条件,即攻击者有能力写一个任意值到任意位置,通常作为一个缓冲区溢出的结果。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。禁止入内的读- (125)
产品读取数据过去,一开始,或之前预期的缓冲区。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。潜在的危险函数的使用- (676)
产品调用一个有潜在危险的函数,可以引入一个漏洞,如果使用不正确,但是函数也可以安全使用。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当零终止- (170)
产品不终止或不正确地终止字符串或数组null字符或等价的终结者。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不正确类型转换或演员- (704)
产品不正确地转换为一个对象,资源,或结构从一个类型到另一个类型。
类别——CWE条目包含一组其他条目,共享一个共同的特点。SEI CERT 08 C编码标准指导方针。内存管理(MEM)- (1162)
弱点这类相关的规则和建议的内存管理(MEM)部分SEI CERT C编码标准。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。使用后免费- (416)
引用的内存被释放后可以导致程序崩溃,使用意想不到的价值,或执行代码。悬空指针Use-After-Free
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。过期或释放后操作资源- (672)
产品使用、访问或操作资源之后,资源已经过期,释放,或撤销。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。依赖未定义不明,或实现定义的行为- (758)
产品使用API函数,数据结构,或其他实体的方式依赖于属性并不总是保证持有实体。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。操作资源在一生的错误的阶段- (666)
产品资源上执行一个操作在错误的资源的生命周期阶段,从而导致意外行为。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。双自由- (415)
产品电话免费()两次在同一个内存地址,可能导致修改意想不到的内存位置。双重释放
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。失踪之后释放内存有效寿命- (401)
产品没有足够的跟踪和释放分配的内存后,慢慢消耗剩余的内存。内存泄漏
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不当关机或释放资源- (404)
产品不释放或错误发布资源前可以重用。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不完整的清理- (459)
产品不正确的“清理”,删除临时或支持资源后使用。清理不足
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。缺少参考活动分配资源- (771)
产品不正确维护引用一个已分配的资源,防止资源被回收。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。失踪后释放资源的有效寿命- (772)
产品不其有效寿命结束后释放资源,即。后,资源不再需要。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。空闲的内存不是在堆上- (590)
产品电话免费()在一个指针指向内存堆分配不分配使用相关功能,如malloc (), calloc(),或realloc ()。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不正确的缓冲区大小的计算- (131)
产品不正确计算时使用的大小分配一个缓冲区,这可能会导致缓冲区溢出。
链——一个复合元素是一个序列的两个或两个以上的独立的缺点,可以在软件中紧密联系在一起。一个弱点,X,可以直接创建所必需的条件导致另一个弱点,Y,进入一个脆弱的状态。,当这一切发生的时候,CWE指X作为“主”Y, Y是“合成”X连锁可能涉及两个以上缺点,在某些情况下,他们可能有一个树状结构。整数溢出缓冲区溢出- (680)
产品执行的计算来决定分配多少内存,但可能出现整数溢出,导致比预期的更少的内存分配,导致缓冲区溢出。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。使用sizeof()在一个指针类型- (467)
代码调用sizeof()在malloc指针类型,它总是返回wordsize / 8。这可以产生意想不到的结果,如果程序员为了确定被分配多少内存。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。内存分配过多的大小值- (789)
基于一个不可信的产品分配内存,大尺寸值,但这并不能保证尺寸在预期范围内,允许任意数量的内存分配。堆栈疲惫
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。整数溢出或概括的- (190)
产品执行的计算可以产生一个整数溢出或概括,当逻辑假设得到的值总是大于原始值。这可以介绍其他弱点当计算用于资源管理或执行控制。
类别——CWE条目包含一组其他条目,共享一个共同的特点。SEI CERT 09 C编码标准指导方针。输入输出(FIO)- (1163)
弱点这类相关的规则和建议的输入输出(FIO)部分SEI CERT C编码标准。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。使用外部控制的格式字符串- (134)
产品使用一个函数,它接受一个格式字符串作为参数,但格式字符串来自外部源。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不正确的输入验证- (20)
产品接收输入或数据,但它不验证或不正确验证输入所需的属性的过程安全、正确的数据。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。处理不当的Windows设备名称- (67)
产品结构从用户输入路径名,但它不能处理或不正确地处理包含Windows设备名称,如辅助路径名或场骗局通常会导致拒绝服务或信息暴露当应用程序试图处理作为一个常规文件路径名。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。数字截断误差- (197)
截断误差发生当一个原始的小一号的原始和转换数据丢失。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。处理不当的意想不到的数据类型- (241)
产品不能处理或不正确处理特定元素时不预期的类型,例如,预计一个数字(0 - 9),但提供一个字母(a - z)。
支柱——一个弱点是最抽象类型的弱点和代表一个主题类/基地/变体相关弱点。支柱是不同于一个类别作为支柱技术上仍然是一种弱点,描述了一个错误,而一个类别代表一个共同特征用于组相关的东西。资源的不当控制通过它的生命周期- (664)
产品不维护或不正确的维护控制资源在其一生的创作,使用,和释放。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不当关机或释放资源- (404)
产品不释放或错误发布资源前可以重用。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不完整的清理- (459)
产品不正确的“清理”,删除临时或支持资源后使用。清理不足
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。失踪后释放资源的有效寿命- (772)
产品不其有效寿命结束后释放资源,即。后,资源不再需要。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。缺少参考活跃的文件描述符或处理- (773)
产品不正确维护引用一个文件描述符或处理,防止文件描述符/处理被回收。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。失踪的文件描述符或处理后有效- (775)
产品没有发布一个文件描述符或处理其有效寿命结束后,即文件描述符/处理后,不再需要。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。缺少参考活动分配资源- (771)
产品不正确维护引用一个已分配的资源,防止资源被回收。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。使用过期的文件描述符- (910)
产品使用或访问一个文件描述符后关闭。的文件描述符
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。操作资源在一生的错误的阶段- (666)
产品资源上执行一个操作在错误的资源的生命周期阶段,从而导致意外行为。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。过期或释放后操作资源- (672)
产品使用、访问或操作资源之后,资源已经过期,释放,或撤销。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。依赖未定义不明,或实现定义的行为- (758)
产品使用API函数,数据结构,或其他实体的方式依赖于属性并不总是保证持有实体。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。函数调用与不正确的参数类型- (686)
产品调用一个函数、过程或程序,但调用者指定一个论点是错误的数据类型,这可能会导致合成的弱点。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。函数调用的参数的数量不正确- (685)
产品调用一个函数,程序,或常规,但是调用者指定太多的参数,或过少的参数,这可能会导致未定义的行为和结果的弱点。
类别——CWE条目包含一组其他条目,共享一个共同的特点。SEI CERT 10 C编码标准指导方针。环境(ENV)- (1165)
弱点这类相关的规则和建议的环境(ENV)部分SEI CERT C编码标准。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不正确的控制流范围- (705)
产品不正常控制流返回到正确的位置后,完成了一个任务或发现一个不寻常的条件。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。潜在的危险函数的使用- (676)
产品调用一个有潜在危险的函数,可以引入一个漏洞,如果使用不正确,但是函数也可以安全使用。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当使用中和特殊元素在一个操作系统命令(OS命令注入)- (78)
产品结构的全部或部分操作系统命令使用externally-influenced输入从一个上游组件,但这并不中和或错误地中和特殊元素时,可以修改OS命令发送到下游组件。壳注射Shell元字符
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当中和一个命令的参数分隔符(“参数注入”)- (88)
产品构造一个字符串的命令来执行一个单独的组件在另一个控制范围,但这并不正确划定目标参数,选项,或者开关命令字符串中。
类别——CWE条目包含一组其他条目,共享一个共同的特点。SEI CERT 11 C编码标准指导方针。信号(团体)- (1166)
弱点这类相关的规则和建议的信号(SIG)部分SEI CERT C编码标准。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。信号处理器使用不可重入函数- (479)
产品定义了一个信号处理程序,调用一个不可重入函数。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不同步- (662)
该产品利用多个线程或进程允许临时访问共享资源,只能独享一个过程,但这并不正确同步这些动作,这可能导致由多个线程同时访问这个资源或流程。
类别——CWE条目包含一组其他条目,共享一个共同的特点。SEI CERT 12 C编码标准指导方针。错误处理(ERR)- (1167)
弱点这类相关的规则和建议的错误处理(ERR)部分SEI CERT C编码标准。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。失踪的初始化一个变量- (456)
产品不关键变量进行初始化,导致执行环境使用意想不到的价值。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。未经检查的错误条件- (391)
(计划在弃用。看到维修笔记和考虑cwe - 252, cwe - 248,或cwe - 1069。)忽略异常和其他错误条件可能允许攻击者产生异常行为引起注意。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不返回值- (252)
产品不会检查方法或函数返回值,可以防止检测意想不到的状态和条件。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。函数返回值的错误检查- (253)
产品不正确检查函数的返回值,这就避免了冲突检测错误或异常情况。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。潜在的危险函数的使用- (676)
产品调用一个有潜在危险的函数,可以引入一个漏洞,如果使用不正确,但是函数也可以安全使用。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。依赖未定义不明,或实现定义的行为- (758)
产品使用API函数,数据结构,或其他实体的方式依赖于属性并不总是保证持有实体。
类别——CWE条目包含一组其他条目,共享一个共同的特点。SEI CERT 13 C编码标准指导方针。应用程序编程接口(API)- (1168)
弱点这类相关的规则和建议的应用程序编程接口(API)部分SEI CERT C编码标准。
类别——CWE条目包含一组其他条目,共享一个共同的特点。SEI CERT 14 C编码标准指导方针。并发性(CON)- (1169)
弱点这类相关的规则和建议的并发性(CON)部分SEI CERT C编码标准。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不适当的锁定- (667)
产品不正确获取或释放资源的锁,导致意想不到的资源状态和行为变化。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。在一个线程竞争条件- (366)
如果两个线程同时执行的使用资源,存在资源可以使用而无效的可能性,进而使执行未定义的状态。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。潜在的危险函数的使用- (676)
产品调用一个有潜在危险的函数,可以引入一个漏洞,如果使用不正确,但是函数也可以安全使用。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。使用随机值不足- (330)
产品使用随机数或不足值的安全上下文依赖于不可预测的数字。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不安全的临时文件- (377)
创建和使用不安全的临时文件可以把应用程序和系统数据容易受到攻击。
类别——CWE条目包含一组其他条目,共享一个共同的特点。SEI CERT 48 C编码标准指导方针。杂项(MSC)- (1170)
弱点这类相关的规则和建议的杂项(MSC)部分SEI CERT C编码标准。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。使用损坏或危险的密码算法- (327)
产品使用损坏或危险的密码算法或协议。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。使用随机值不足- (330)
产品使用随机数或不足值的安全上下文依赖于不可预测的数字。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。使用密码地弱伪随机数生成器(PRNG)- (338)
产品使用伪随机数生成器(PRNG)在一个安全上下文,但是PRNG的算法不是密码地强。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。潜在的危险函数的使用- (676)
产品调用一个有潜在危险的函数,可以引入一个漏洞,如果使用不正确,但是函数也可以安全使用。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。熵不足- (331)
产品使用一个算法或方案产生不足的熵,离开模式或集群的价值观比其他人更有可能发生。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。依赖未定义不明,或实现定义的行为- (758)
产品使用API函数,数据结构,或其他实体的方式依赖于属性并不总是保证持有实体。
类别——CWE条目包含一组其他条目,共享一个共同的特点。SEI CERT 50 C编码标准指导方针。POSIX (POS)- (1171)
弱点这类相关的规则和建议的POSIX (POS)部分SEI CERT C编码标准。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不当零终止- (170)
产品不终止或不正确地终止字符串或数组null字符或等价的终结者。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。固有的危险函数的使用- (242)
产品调用一个函数,它不能保证工作安全。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。竞态条件使链接后- (363)
产品检查前一个文件或目录访问的状态,产生竞态条件的文件可以被替换为一个链接进行访问之前,导致产品访问错误的文件。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不正确的行为秩序- (696)
产品执行多个相关的行为,但行为方式错误的执行顺序可能产生结果的弱点。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。检查了不当的特权- (273)
产品试图放弃特权但不检查或不正确检查下成功了。
类——一个弱点,描述的是一个非常抽象的时尚,通常独立于任何特定的语言或技术。更具体的比一个支柱的弱点,但更普遍的基本的弱点。类级别的弱点通常描述问题的1或2以下维度:行为、财产和资源。不适当的锁定- (667)
产品不正确获取或释放资源的锁,导致意想不到的资源状态和行为变化。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。未经检查的错误条件- (391)
(计划在弃用。看到维修笔记和考虑cwe - 252, cwe - 248,或cwe - 1069。)忽略异常和其他错误条件可能允许攻击者产生异常行为引起注意。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。不返回值- (252)
产品不会检查方法或函数返回值,可以防止检测意想不到的状态和条件。
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。函数返回值的错误检查- (253)
产品不正确检查函数的返回值,这就避免了冲突检测错误或异常情况。
类别——CWE条目包含一组其他条目,共享一个共同的特点。SEI CERT 51 C编码标准指导方针。Microsoft Windows(赢)- (1172)
弱点这类相关的规则和建议的Microsoft Windows(赢得)部分SEI CERT C编码标准。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。不匹配的内存管理程序- (762)
产品试图返回系统内存资源,但它所谓的释放函数不是兼容的功能最初是用来分配资源。
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。空闲的内存不是在堆上- (590)
产品电话免费()在一个指针指向内存堆分配不分配使用相关功能,如malloc (), calloc(),或realloc ()。
笔记引用查看指标内容的历史
更多的信息是可用的,请选择一个不同的过滤器。
|
|||||||||||||||||||||||
