Clases de debilidad: CWE y OWASP Top 10

Un CWE nombra una clase de debilidad: un tipo de error del diseño o del código, como la neutralización incorrecta de la entrada en una consulta. Lo mantiene MITRE como lista comunitaria. Un CVE nombra una vulnerabilidad concreta, en una versión concreta de un producto concreto, con aviso publicado.

El código propio de una empresa casi nunca tiene CVE, porque nadie lo ha publicado, pero sí tiene debilidades que se pueden clasificar con CWE. Por eso los informes de análisis de código y de aplicación hablan de CWE. Y la gravedad es otra cosa: la puntúa CVSS aparte, o se estima en contexto.

El OWASP Top 10 no es una lista de debilidades: es una lista de categorías de riesgo de aplicaciones web. Cada categoría agrupa muchos CWE. La edición 2021 tiene diez categorías numeradas y la página de cada una enumera los CWE que se le asignan.

Usar la categoría sirve para reportar a gerencia y para ver patrones, por ejemplo, que dos hallazgos distintos caen en la misma. Para el trabajo diario del analista el dato fino sigue siendo el CWE.

Cuando un hallazgo estático y uno dinámico comparten CWE, hay una pista fuerte de que miran la misma clase de problema. No es una prueba de que sea el mismo defecto: puede haber dos lugares distintos con el mismo error. Para unirlos hace falta comparar también dónde ocurren.

En la tabla de mapeo, busca el CWE que aparece tanto en un hallazgo estático como en uno dinámico.

Agrupar por categoría convierte una lista de hallazgos en una imagen del programa: cuánto pesa cada familia de riesgo. Es lo que se lleva a una reunión de gerencia. Se cuenta mejor sin duplicar, pero aquí te pedimos el recuento simple de la tabla.

Cuenta cuántos hallazgos de la tabla de mapeo caen en la categoría de inyección, cuyo código es A03:2021.

Antes de contar dos hallazgos con el mismo CWE como un único problema hay que ver si apuntan al mismo lugar. Un informe estático habla de archivos; uno dinámico, de direcciones. El nexo está en saber qué archivo atiende cada dirección.