応用情報技術者試験 応用情報技術者試験 令和5年度春期 午前 問40: ソフトウェアの既知の脆弱性を一意に識別するために用いる情報はどれか。

正解

イ. CVE (Common Vulnerabilities and Exposures)

正答率 56.4%（346人中 195人が正解）

問題の解説

既知の脆弱性に一意の識別番号（CVE-西暦-連番の形式）を割り当て、製品や情報源が違っても同じ脆弱性を共通に指せるようにしたものが CVE である。CCE は設定項目、CVSS は深刻度の評価、CWE は脆弱性の原因となる弱点の分類に関するものである。

選択肢ごとの解説

• アCCE（共通設定一覧）は、セキュリティに関するシステムの設定項目に識別子を付けるもので、脆弱性の識別子ではない。
• イ正しい。CVE（共通脆弱性識別子）は、既知の脆弱性ごとに割り当てられる一意の識別番号である。
• ウCVSS（共通脆弱性評価システム）は、脆弱性の深刻度を数値で評価する手法で、脆弱性を識別するための情報ではない。
• エCWE（共通脆弱性タイプ一覧）は、脆弱性の原因となるソフトウェアの弱点を種類ごとに分類したもので、個々の脆弱性を識別するものではない。