Může vzniknout z návrhu, kódu, konfigurace, nasazení, postupu nebo závislosti. Pojem popisuje samotnou slabost — nikoli exploit, útok či pravděpodobnost a dopad, které tvoří riziko.
Zda je zranitelnost v konkrétním prostředí významná, závisí na dotčených verzích, nasazení, dosažitelnosti, existujících zábranách, dostupných útočných cestách a důsledcích kompromitace. Tyto faktory by měly informovat zvládnutí, aniž by měnily podkladovou definici.
Klíčové body
Možné původyZranitelnosti mohou vznikat z chybných předpokladů, implementačních chyb, nezabezpečených výchozích nastavení, chybějících kontrol, nebezpečné kompozice, provozních omylů nebo slabostí zděděných od třetích stran.
Důkazy a validaceNálezy mohou pocházet z výzkumu, testování, skenování, revize kódu, analýzy incidentů, dodavatelských poradenství nebo koordinovaného zveřejnění a často vyžadují potvrzení vůči skutečnému prostředí.
Možnosti zvládnutíPodle kontextu může organizace slabost odstranit, snížit expozici, přidat kompenzační kontrolu, vyřadit dotčenou komponentu nebo explicitně přijmout zbývající riziko.
Důležité omezeníObjev zranitelnosti nedokazuje, že je v každém nasazení dosažitelná, zneužitelná, aktivně zneužívaná nebo vysoce dopadová; absence nálezu stejně tak nedokazuje, že žádná zranitelnost neexistuje.