[网络数据] CWE4.6标准中加入 OWASP 2021 TOP10

摘要： 新发布的CWE4.6标准，加入了OWASP 2021 TOP10的视图。

  

• 弱点(Weakness)增加了两个。目前CWE已经经过了15年左右的发展，基本上处于稳定状态，不太会有过多的CWE弱点类的节点增加；  
  
• 视图(View)增加了两个。视图是以不同的研究人员角度出发，对某些弱点的一个分类汇总的视图。在视图之下，通常是分类(Category)节点对某类弱点(Weakness)的一个分类。所以视图的增加，通常会伴随着分类(Category)节点的增加， 这次就增加了20个分类(Category)节点。
  

  

• 比较两个版本的schema文件，发现只有以下两个变动，如下图：
  

  

• 
  
     
  
  • 检测方法枚举值(Detection Method Enumeration)的变动
    
          
    
    • 增加了"形式化验证(Formal Verification)"。形式化的方法已经开始逐步从学术走向了实际应用, 但形式化的方法依然会带来极高的验证成本；      
      
    • 增加了"模拟/仿真(Simulation / Emulation)"。 通常这个方法用于硬件安全的验证。     
      
         
    
  • 有效性枚举值()的变动
    
          
    
    • 增加了"不鼓励的常见做法(Discouraged Common Practice)"。 也就是说这个安全消减措施的无效，不建议使用。避免了采取一些习惯性认为有效，实际上确无效的安全措施，防止习惯性思维导致的无效劳动。     
      
       
    
    
  

  

• CWE-1341(重复释放同一个资源或句柄(Multiple Releases of Same Resource or Handle))
  

char b[2000];
FILE *f = fopen("dbl_cls.c", "r");
if (f)
{
  b[0] = 0;
  fread(b, 1, sizeof(b) - 1, f);
  printf("%s\n'", b);
  int r1 = fclose(f);
  printf("\n-----------------\n1 close done '%d'\n", r1);
  int r2 = fclose(f); // Double close
  printf("2 close done '%d'\n", r2);
}

  

• CWE-1342(瞬时执行后微架构状态造成信息泄漏(Information Exposure through Microarchitectural State after Transient Execution))
  

  

• CWE-1343(2021最重要的硬件弱点(Weaknesses in the 2021 CWE Most Important Hardware Weaknesses List))
  这个不是我的研究领域，跳过。  
  
• CWE-1344(OWASP 2021 TOP10 弱点(Weaknesses in OWASP Top Ten (2021)))
  这个的视图体现了OWASP 九月分发布的 OWASP TOP10 (2021)。 这个是OWASP 自2017 年之后，时隔四年，再次发布TOP10。接下来我们重点看下这个视图。
  

  

• https://cwe.mitre.org/data/reports/diff_reports/latest.html  
  
• https://cwe.mitre.org/data/definitions/1344.html  
  
• https://owasp.org/Top10/  
  
• https://github.com/OWASP/Top10