Procjena brzine sanacije ranjivosti koje je otkrio Google Project Zero

Istraživači iz tima Google Project Zero sumirali su podatke o vremenu odgovora proizvođača kako bi otkrili nove ranjivosti u njihovim proizvodima. U skladu s Googleovom politikom, ranjivosti koje su identifikovali istraživači iz Google Project Zero imaju rok od 90 dana za rješavanje, plus dodatnih 14 dana za javno objavljivanje može biti odgođeno na zahtjev. Nakon 104 dana, ranjivost se otkriva čak i ako problem ostane neriješen.

Od 2019. do 2021. godine projektom je identifikovano 376 problema, od kojih je otklonjen 351 (93.4%). 11 (2.9%) ranjivosti je ostalo neispravljeno, a još 14 (3.7%) problema je označeno kao nepopravljivo (WontFix). Tokom godina, došlo je do smanjenja broja ranjivosti za koje zakrpe nisu dovršene u okviru dodijeljenog vremenskog okvira za razvoj zakrpe - 2021. za 14% je zatraženo dodatnih 14 dana za zakrpe, a samo jedna ranjivost nije zakrpljena prije otkrivanja.

Proizvođač

Broj problema

Popravljeno za 90 dana

Popravljeno za dodatnih 14 dana

Nije popravljeno u predviđenom vremenu

Prosječan broj dana za popravku

jabuka

84

73 (87%)

7 (8%)

4 (5%)

69

Microsoft

80

61 (76%)

15 (19%)

4 (5%)

83

Google

56

53 (95%)

2 (4%)

1 (2%)

44

Linux

25

24 (96%)

0 (0%)

1 (4%)

25

čerpić

19

15 (79%)

4 (21%)

0 (0%)

65

Mozilla

10

9 (90%)

1 (10%)

0 (0%)

46

Samsung

10

8 (80%)

2 (20%)

0 (0%)

72

proročanstvo

7

3 (43%)

0 (0%)

4 (57%)

109

Ostalo*

55

48 (87%)

3 (5%)

4 (7%)

44

UKUPNO

346

294 (84%)

34 (10%)

18 (5%)

61

U prosjeku je bilo potrebno 2021 dana da se ispravi ranjivost 52., 2020 dana 54., 2019 dana 67., 2018 dana 80. Ranjivosti su najbrže otklonjene u Linux kernelu - u prosjeku 15, 22 i 32 dana u 2021. , 2020. i 2019. godine. Najsporija kompanija koja je objavila popravku bio je Microsoft, kojem je u prosjeku trebalo 76, 87 i 85 dana za popravku (prema prvoj tabeli sa ukupnim vremenom, Oracle je najsporije reagirao - 109 dana za popravku). Appleu je trebalo u prosjeku 64, 63 i 71 dan da popravi. U Google proizvodima, prosječno vrijeme za generiranje zakrpa po godini bilo je 53, 22 i 49 dana.

Prodavac

Greške u 2019

(pros. dana za popravku)

Greške u 2020

(pros. dana za popravku)

Greške u 2021

(pros. dana za popravku)

jabuka

61 (71)

13 (63)

11 (64)

Microsoft

46 (85)

18 (87)

16 (76)

Google

26 (49)

13 (22)

17 (53)

Linux

12 (32)

8 (22)

5 (15)

Ostalo*

54 (63)

35 (54)

14 (29)

UKUPNO

199 (67)

87 (54)

63 (52)

Od proizvođača pretraživača, popravci se najbrže generišu za Chrome, ali Firefox brže dovršava objavljivanje nakon pojavljivanja popravka (u Chromeu i Safariju, ranjivost koja je već ispravljena u kodu ostaje nepoznata korisnicima za dugo vremena, što napadači iskorištavaju).

Preglednik Broj problema Prosječno vrijeme u danima od obavijesti o problemu do objavljivanja popravka Prosječno vrijeme od objavljivanja zakrpe do izdavanja proizvoda Prosječno vrijeme od obavijesti o ranjivosti do objavljivanja s popravkom

Chrome

40

5.3

24.6

29.9

WebKit

27

11.6

61.1

72.7

Firefox

8

16.6

21.1

37.8

ukupan

75

8.8

37.3

46.1

izvor: opennet.ru