· 6 min de lecture.
CWE et CVE : la différence en un exemple
Prenez CVE-2021-44228, Log4Shell. Sa CWE est CWE-917 : injection dans une expression d'évaluation. Les deux niveaux appellent deux corrections différentes.
Corriger la CVE, c'est monter Log4j en version 2.17. C'est urgent, c'est fini en une soirée, et cela ne vous protège que de cette faille-là.
Corriger la CWE, c'est interdire à toute donnée entrante d'atteindre un évaluateur d'expressions. C'est long, cela demande une revue de conception — et cela vous protège aussi des trois prochaines failles de la même famille, y compris celles qui n'ont pas encore de numéro.
Une seule CWE couvre des milliers de CVE. C'est pour cette raison qu'un rapport de sécurité qui ne parle que de CVE décrit un présent, jamais une tendance.
Les faiblesses que vous croiserez le plus
Une poignée de CWE concentre une part énorme des CVE publiées. Pour chacune, un exemple célèbre permet de fixer l'idée :
| CWE | Faiblesse | Ce que l'attaquant obtient | Cas connu |
|---|---|---|---|
CWE-79 | Cross-site scripting (XSS) | Exécuter du code dans le navigateur d'un autre utilisateur | Innombrables failles de CMS et d'extensions |
CWE-89 | Injection SQL | Lire ou modifier la base de données | CVE-2023-34362 (MOVEit) |
CWE-787 | Écriture hors limites | Corrompre la mémoire, souvent jusqu'à l'exécution de code | Failles de navigateurs et de piles réseau |
CWE-22 | Traversée de répertoire | Lire des fichiers hors du dossier prévu | Failles d'équipements de bordure et de VPN |
CWE-352 | Falsification de requête (CSRF) | Faire agir un utilisateur connecté à son insu | Interfaces d'administration mal protégées |
CWE-862 | Autorisation manquante | Atteindre une fonction sans y avoir droit | Failles d'API très répandues |
CWE-416 | Utilisation après libération | Détourner l'exécution du programme | Failles de moteurs de rendu |
CWE-78 | Injection de commande système | Exécuter des commandes sur le serveur | Failles d'appliances et de routeurs |
CWE-917 | Injection d'expression | Exécuter du code via une chaîne interprétée | CVE-2021-44228 (Log4Shell) |
La liste complète compte plus de 900 entrées, organisées en hiérarchie : des piliers très généraux jusqu'à des variantes très précises. Elle est consultable sur cwe.mitre.org ; nous n'en dupliquons pas les 900 lignes ici, elles ne vous apprendraient rien de plus que le catalogue officiel.
Le CWE Top 25 : à quoi il sert vraiment
Le MITRE publie chaque année le CWE Top 25 des faiblesses les plus dangereuses, classées en croisant la fréquence des CVE associées et leur gravité. Dans l'édition 2024, CWE-79 (XSS) est repassée en tête, devant CWE-787 (écriture hors limites) et CWE-89 (injection SQL).
Ce classement ne sert pas à décider quoi corriger cette semaine : il sert à décider sur quoi former une équipe et sur quoi régler ses outils d'analyse statique. C'est un outil de prévention, pas de tri d'alertes — la confusion est fréquente et fait perdre du temps aux deux bouts.
La chaîne CAPEC, CWE, CVE
Trois nomenclatures, trois questions : un schéma d'attaque (CAPEC) décrit comment on s'y prend, une faiblesse (CWE) décrit le défaut exploité, une vulnérabilité (CVE) décrit où ce défaut se trouve concrètement.
Déroulée sur Log4Shell : injection de code (CAPEC-242) → injection d'expression (CWE-917) → Log4j 2.0 à 2.14.1 (CVE-2021-44228). Lire dans ce sens permet d'anticiper ; lire dans l'autre permet de réagir.
Et concrètement, pour vous
Trois usages qui tiennent dans une réunion d'équipe :
- Comptez vos CVE par CWE sur les douze derniers mois. Si
CWE-862revient huit fois, vous n'avez pas huit bugs : vous avez un problème de conception des contrôles d'accès. - Réglez vos outils d'analyse sur les trois CWE les plus fréquentes de votre code plutôt que sur les 900 règles par défaut. Le taux de faux positifs s'effondre, l'équipe cesse d'ignorer les rapports.
- Mettez la CWE dans le ticket, pas seulement la CVE. Le développeur qui corrige comprend alors ce qu'il doit éviter de réécrire ailleurs.
Questions fréquentes
Combien existe-t-il de CWE ?
Plus de 900, organisées en hiérarchie (piliers, classes, bases, variantes). Une centaine seulement revient régulièrement dans les CVE publiées : c'est sur celles-là qu'il faut concentrer l'effort.
CWE ou CVE pour piloter la sécurité applicative ?
La CWE pour la prévention, parce qu'elle décrit une classe de défauts que vous pouvez éliminer à la conception. La CVE pour la réaction, parce qu'elle désigne une faille précise à corriger dans un produit précis. Les deux, jamais l'une à la place de l'autre.
Une CVE peut-elle avoir plusieurs CWE ?
Oui, et c'est fréquent. Une chaîne d'exploitation combine souvent une faiblesse d'autorisation et une injection. Les fiches listent alors plusieurs CWE ; la première citée est en général la cause la plus directe.