La jerarquía de CWE: vista, categoría, base y variante

El catálogo CWE mezcla dos clases de entradas. Las debilidades describen un error que se puede cometer al construir software, y van de lo general a lo concreto en cuatro niveles: pilar, clase, base y variante. Las entradas de agrupación no describen ningún error: una vista ordena el catálogo entero para un público (por ejemplo, para quien desarrolla), y una categoría junta entradas que comparten un tema, como «errores de autorización».

Cada entrada trae además un valor de uso que dice si sirve para etiquetar un hallazgo real. Las vistas y las categorías nunca sirven: decir que un fallo es «un error de autorización» es nombrar el cajón, no el fallo. Abre el laboratorio y lee primero como-leer-el-extracto.txt y después tablero.txt.

El valor de uso para mapear lo pone MITRE en cada entrada y tiene cuatro posibles. ALLOWED: se puede usar. ALLOWED-WITH-REVIEW: se puede, pero después de leer sus notas, porque suele existir un hijo más preciso. DISCOURAGED: no se debería usar; es demasiado general o se malinterpreta a menudo. PROHIBITED: no se puede usar, como pasa con vistas y categorías.

Los pilares y muchas clases salen como desaconsejados por una razón práctica: una etiqueta general no le dice a nadie qué cambiar en el código, y en las estadísticas mezcla fallos que no se parecen. Cruza cada etiqueta del tablero con su valor de uso en el extracto (grep CWE-284 extracto-cwe.txt te deja una fila).

Corregir una etiqueta desaconsejada no es buscar un número parecido: es releer la descripción del hallazgo y preguntar cuál es la causa concreta. Un pilar como «control de acceso inadecuado» es cierto para cientos de fallos distintos; la base correcta es la que nombra el mecanismo que falló en este.

En PP-102 la aplicación sí pide sesión y sí busca la factura, pero decide a quién entregarla con el número que llega en la URL, un dato que el propio usuario controla, sin comparar el dueño. En el extracto hay una base que describe exactamente esa causa.

Cada debilidad tiene un padre en la vista 1000, la jerarquía de conceptos de investigación. Subir por esa cadena sirve para dos cosas: comprobar que la base elegida cae bajo el tema correcto, y encontrar la clase que conviene usar cuando la descripción no da para más. La cadena termina siempre en un pilar.

Desde la base de la tarea anterior, sigue la columna «padre en la vista 1000» hasta llegar a CWE-285 y después al pilar.

Por debajo de la base están las variantes: la misma causa atada a una tecnología, un lenguaje o una forma concreta. La regla de la casa pide base o variante siempre que la descripción lo permita, porque cuanto más concreta es la etiqueta, más clara queda la corrección. Si el hallazgo no da detalles suficientes para la variante, se queda en la base, sin inventar.

PP-103 lleva una variante. Léela en el extracto junto con la descripción del hallazgo.