Ea poate apărea din proiectare, cod, configurație, implementare, procedură sau o dependență. Termenul descrie slăbiciunea în sine — nu un exploit, un atac sau probabilitatea și impactul care compun riscul.
Dacă o vulnerabilitate contează într-un anumit mediu depinde de versiunile afectate, de implementare, accesibilitate, măsurile de protecție existente, căile de atac disponibile și consecințele compromiterii. Acești factori ar trebui să informeze tratarea fără a schimba definiția de bază.
Puncte esențiale
Origini posibileVulnerabilitățile pot rezulta din presupuneri greșite, erori de implementare, valori implicite nesigure, controale lipsă, compunere nesigură, greșeli operaționale sau slăbiciuni moștenite de la terți.
Dovezi și validareConstatările pot proveni din cercetare, testare, scanare, revizuire de cod, analiza incidentelor, avize ale furnizorilor sau divulgare coordonată și necesită adesea confirmare în mediul real.
Opțiuni de tratareÎn funcție de context, o organizație poate remedia slăbiciunea, reduce expunerea, adăuga un control compensatoriu, retrage componenta afectată sau accepta explicit riscul rămas.
Limitare importantăDescoperirea unei vulnerabilități nu dovedește că este accesibilă, exploitabilă, exploatată activ sau cu impact mare în fiecare implementare; absența unei constatări nu dovedește nici ea că nu există nicio vulnerabilitate.