 总结
会员
| 自然 |
类型 |
ID |
的名字 |
| MemberOf |
 视图——CWE条目的一个子集,它提供了一种检查CWE的内容。两个主要视图结构片(列表)和图(包含条目之间的关系)。 |
699年 |
软件开发 |
| MemberOf |
 类别——CWE条目包含一组其他条目,共享一个共同的特点。 |
723年 |
OWASP十大2004类别A2 -破碎的访问控制 |
| MemberOf |
类别——CWE条目包含一组其他条目,共享一个共同的特点。 |
731年 |
OWASP 2004年十大类别A10——不安全的配置管理 |
| MemberOf |
类别——CWE条目包含一组其他条目,共享一个共同的特点。 |
1345年 |
OWASP 2021年十大类别A01:2021——破碎的访问控制 |
| HasMember |
 Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。 |
276年 |
不正确的默认权限 |
| HasMember |
 变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。 |
277年 |
不安全的继承权限 |
| HasMember |
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。 |
278年 |
不安全的保存继承权限 |
| HasMember |
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。 |
279年 |
不正确的Execution-Assigned权限 |
| HasMember |
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。 |
280年 |
处理不当的权限或权限不足 |
| HasMember |
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。 |
281年 |
保存不当的权限 |
| HasMember |
Base -一个弱点,仍主要是独立的资源或技术,但有足够的细节来提供特定的检测和预防方法。基础水平的弱点通常描述问题的2或3以下维度:行为、财产、技术、语言,和资源。 |
618年 |
曝光不安全的ActiveX方法 |
| HasMember |
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。 |
766年 |
关键数据元素声明 |
| HasMember |
变体——一个弱点与某种类型的产品,通常涉及到一个特定的语言或技术。更具体的比基本的弱点。变异水平弱点通常描述问题的3到5以下维度:行为、财产、技术、语言,和资源。 |
767年 |
访问私有变量通过公共方法至关重要 |
笔记
映射
使用映射:禁止(CWE ID不能用来映射到现实世界的漏洞)。
理由是:该条目是一个类别。使用类别映射一直是积极鼓励实践至少自2019年以来。类别是非正式组织分组CWE的弱点,帮助导航和浏览用户,但他们不是自己的弱点。
评论:考虑映射的弱点,是这类的成员。
术语
权限与资源相关联,指定允许哪些演员访问该资源,他们可以做什么,访问(例如,阅读它,修改它)。特权与演员和定义哪些行为或动作演员是允许执行。
引用
|
迈克尔•霍华德(REF-44)大卫·勒布朗和Viega约翰。软件安全的“24宗罪”。“罪孽17:未能保护存储数据。”Page 253. McGraw-Hill. 2010. |
|
总结
