CWE (Common Weakness Enumeration)

Définition

La CWE (Common Weakness Enumeration) est une classification communautaire des faiblesses logicielles et matérielles maintenue par MITRE et soutenue par la CISA (Cybersecurity and Infrastructure Security Agency). Contrairement aux CVE qui cataloguent des vulnérabilités spécifiques dans des produits précis, la CWE répertorie les types génériques de faiblesses qui peuvent engendrer des vulnérabilités. La CWE constitue un vocabulaire commun permettant aux développeurs, aux testeurs de sécurité et aux chercheurs de décrire et de communiquer sur les faiblesses logicielles de manière cohérente. Chaque entrée CWE décrit une catégorie de faiblesse avec sa définition, ses conséquences potentielles, ses plateformes affectées, ses modes d'introduction dans le code, et les méthodes de prévention et de détection. Les faiblesses CWE sont organisées en une taxonomie hiérarchique : vues (perspectives de classification), catégories (regroupements de faiblesses similaires), faiblesses (entrées détaillées), et composites (combinaisons de faiblesses). La vue CWE Top 25 Most Dangerous Software Weaknesses est publiée annuellement par MITRE sur la base des CVE les plus exploitées, offrant un guide pratique pour les priorités de sécurité logicielle. Les faiblesses les plus récurrentes dans la CWE Top 25 incluent : CWE-79 (Cross-Site Scripting), CWE-89 (SQL Injection), CWE-787 (Out-of-bounds Write), CWE-20 (Improper Input Validation), CWE-125 (Out-of-bounds Read), CWE-416 (Use After Free), CWE-22 (Path Traversal), et CWE-78 (OS Command Injection). Ces faiblesses représentent la majorité des vulnérabilités exploitées en production. L'intégration de la CWE dans le cycle de développement sécurisé passe par plusieurs mécanismes : les outils SAST (Static Application Security Testing) comme SonarQube, Checkmarx ou Semgrep mappent leurs règles de détection sur les CWE, permettant aux développeurs d'identifier et corriger les faiblesses avant la production. Les scanners DAST, les outils de composition logicielle (SCA), et les pentests documentent également leurs findings avec les identifiants CWE correspondants. La relation CVE-CWE est fondamentale : chaque CVE publiée dans le NVD inclut la CWE associée, permettant d'analyser les tendances des faiblesses exploitées et d'orienter les efforts de secure coding formation.