CWE

Pourquoi répare-t-on encore les mêmes erreurs dans des logiciels différents ? Parce qu’une Faille de sécurité particulière peut provenir d’un défaut de conception ou de programmation qui se répète ailleurs. CWE donne un nom et un identifiant à ces types de faiblesses. Un contrôle d’accès oublié, par exemple, peut permettre à une personne de consulter un dossier qui ne lui appartient pas. Le problème vient alors de la façon dont le logiciel vérifie les permissions.

La première liste CWE est publiée en 2006, à partir de travaux qui cherchaient à classer les causes des vulnérabilités déjà décrites dans CVE. L’objectif : disposer de définitions assez précises pour comparer les outils d’analyse, expliquer les erreurs et guider leur prévention. Le catalogue s’est ensuite étendu aux faiblesses matérielles en 2020. Il couvre donc aussi des défauts qui dépassent le seul code d’une application.

Le programme bénéficie d’un financement public de l’agence CISA. Un organisme de recherche sans but lucratif en assure l’exploitation et anime les contributions d’une communauté réunissant notamment recherche, conception de produits et sécurité. Les fiches sont consultables gratuitement. Elles décrivent les faiblesses, leurs conséquences possibles, leurs relations avec d’autres défauts et des moyens de les prévenir ou de les détecter. Il ne s’agit pas d’un simple palmarès des logiciels mal conçus.

La distinction évite bien des malentendus : une référence CWE désigne un type de faiblesse, une référence CVE un défaut particulier dans un produit. Plusieurs vulnérabilités peuvent relever du même CWE. Le score CVSS évalue leur gravité ; le numéro CWE n’est pas une note. Pour les équipes techniques, cette classification permet de chercher la cause commune de plusieurs incidents et de modifier la conception, les pratiques ou les vérifications. Le public bénéficie de ce travail sans avoir à apprendre le catalogue par cœur.