安全漏洞分类之CNNVD漏洞分类指南

适用范围说明
凡是被国家信息安全漏洞库（CNNVD）收录的漏洞，均适用此分类规范，包括采集的公开漏洞以及收录的未公开漏洞，通用型漏洞及事件型漏洞。
漏洞类型
CNNVD将信息安全漏洞划分为26种类型，分别是：配置错误、代码问题、资源管理错误、数字错误、信息泄露、竞争条件、输入验证、缓冲区错误、格式化字符串、跨站脚本、路径遍历、后置链接、SQL注入、注入、代码注入、命令注入、操作系统命令注入、安全特征问题、授权问题、信任管理、加密问题、未充分验证数据可靠性、跨站请求伪造、权限许可和访问控制、访问控制错误、资料不足。

配置错误 CWE-16: Configuration

描述
此类漏洞指软件配置过程中产生的漏洞。该类漏洞并非软件开发过程中造成的，不存在于软件的代码之中，是由于软件使用过程中的不合理配置造成的。

代码问题 CWE-17: Code

描述
此类漏洞指代码开发过程中产生的漏洞，包括软件的规范说明、设计和实现。该漏洞是一个高级别漏洞，如果有足够的信息可进一步分为更低级别的漏洞。

输入验证 CWE-20: Improper Input Validation

描述
产品没有验证或者错误地验证可以影响程序的控制流或数据流的输入。如果有足够的信息，此类漏洞可进一步分为更低级别的类型。
当软件不能正确地验证输入时，攻击者能够伪造非应用程序所期望的输入。这将导致系统接收部分非正常输入，攻击者可能利用该漏洞修改控制流、控制任意资源和执行任意代码。
常见后果
技术影响：
DoS: crash / exit / restart;
DoS: resource consumption (CPU);
DoS: resource consumption (memory)；
Read memory;
Read files or directories；
Modify memory;
Execute unauthorized code or commands
影响范围：机密性、完整性和可用性

路径遍历 CWE-22: Path Traversal

描述
为了识别位于受限的父目录下的文件或目录，软件使用外部输入来构建路径。由于软件不能正确地过滤路径中的特殊元素，能够导致访问受限目录之外的位置。
许多文件操作都发生在受限目录下。攻击者通过使用特殊元素（例如，“…”、“/”）可到达受限目录之外的位置，从而获取系统中其他位置的文件或目录。相对路径遍历是指使用最常用的特殊元素“…/”来代表当前目录的父目录。绝对路径遍历（例如"/usr/local/bin"）可用于访问非预期的文件。
常见后果
技术影响：
Execute unauthorized code or commands；
Modify files or directories；
Read files or directories；
DoS: crash / exit / restart
影响范围：
机密性、完整性和可用性

后置链接 CWE-59: Link Following

描述