FAQ

Das CWE Top 25 ist eine jährliche Liste der 25 gefährlichsten Schwachstellen in Bezug auf Softwaresicherheit. Sie wird von MITRE auf der Grundlage öffentlicher Daten aus der NVD (National Vulnerability Database) und anderen Quellen erstellt, wobei die Häufigkeit und die Auswirkungen von Schwachstellen analysiert werden, die mit realen CVEs verbunden sind.

Dieses Ranking ist für Entwickler und Sicherheitsteams von großem Wert, da es die häufigsten und kritischsten Fehler wie Injections, Buffer Overflows oder Authentifizierungsprobleme aufzeigt. Durch die Konzentration auf diese prioritären Schwachstellen können Unternehmen ihre Sicherheitslage auch mit begrenzten Ressourcen schnell verbessern.

Die CWE-Liste wird von der MITRE Corporation gepflegt, derselben Organisation, die das CVE-Programm verwaltet. MITRE wird vom US-amerikanischen Ministerium für Heimatschutz (DHS) und anderen öffentlichen und privaten Akteuren unterstützt, um diese Wissensdatenbank zu entwickeln und zu aktualisieren.

Die Community spielt ebenfalls eine Schlüsselrolle: Forscher, Herausgeber, Regierungen und Industrie können neue Schwächen vorschlagen, Änderungen anregen oder Feedback zur Nützlichkeit bestehender Einträge geben. Die Datenbank ist öffentlich, online frei zugänglich und wird kontinuierlich erweitert, um die Entwicklungen in Technologien und Angriffstechniken widerzuspiegeln.

CWEs sind in zahlreiche Tools zur Analyse von Quellcode, zur Sicherheitsüberprüfung oder zum Management von Schwachstellen integriert, um potenzielle Schwächen in Software automatisch zu identifizieren. Durch das Verständnis, welche CWEs in einem System vorhanden sind, können Teams die Angriffsfläche abschätzen, zukünftige Bedrohungen antizipieren und Korrekturen priorisieren, bevor eine Schwachstelle zu einer ausnutzbaren CVE wird.

Sie ermöglichen auch die Erstellung von Risikoprofilen für Projekte oder Produkte, basierend auf der Art und Anzahl der identifizierten Schwachstellen. Dies erleichtert die Entscheidungsfindung für CISOs, CIOs oder Compliance-Verantwortliche, insbesondere bei DevSecOps-Ansätzen oder bei Bewertungen nach Rahmenwerken wie NIST oder ISO 27002.