 总结
这类代表一个门的七个致命的王国脆弱性分类。它包括弱点,涉及到软件使用一个API的方式与它的用途。根据作者的七个致命的王国,“一个API调用者和被调用者之间的合同。最常见的形式的API滥用时调用者不履行本合同的结束。例如,如果一个程序不能调用是指()之后,调用chroot(),它违反了合同,指定如何改变活动的根目录在一个安全的方式。图书馆滥用的另一个好例子是期待者值得信赖的DNS信息返回给调用者。在这种情况下,调用者滥用被调用的API通过某些假设其行为(返回值可以用于身份验证)。一个也可以违反caller-callee合同从另一侧。例如,如果一个编码器子类SecureRandom并返回一个随机值,违反合同。”
会员
| 自然 |
类型 |
ID |
的名字 |
| MemberOf |
 视图——CWE条目的一个子集,它提供了一种检查CWE的内容。两个主要视图结构片(列表)和图(包含条目之间的关系)。 |
700年 |
七个致命的王国 |
| MemberOf |
 类别——CWE条目包含一组其他条目,共享一个共同的特点。 |
1001年 |
SFP二级集群:使用不当的API |
| HasMember |
 Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。 |
242年 |
固有的危险函数的使用 |
| HasMember |
 变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。 |
243年 |
创建chroot监狱不改变工作目录 |
| HasMember |
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。 |
244年 |
在发布之前清理不当堆内存(堆检验) |
| HasMember |
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。 |
245年 |
J2EE坏做法:直接管理的连接 |
| HasMember |
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。 |
246年 |
J2EE坏做法:直接使用套接字 |
| HasMember |
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。 |
248年 |
未捕获异常 |
| HasMember |
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。 |
250年 |
执行与不必要的特权 |
| HasMember |
类别——CWE条目包含一组其他条目,共享一个共同的特点。 |
251年 |
经常滥用:字符串管理 |
| HasMember |
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。 |
252年 |
不返回值 |
| HasMember |
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。 |
558年 |
在多线程应用程序使用getlogin () |
引用
|
总结
