Google Project Zero avastatud haavatavuste eemaldamise kiireduse hindamine

Google Project Zero meeskonna teadlased on kokku võtnud andmed tootjate reageerimise aja kohta leitud uute haavatavuste osas nende toodetes. Vastavalt Google'i poliitikale antakse 90 päeva haavatavuste kõrvaldamiseks, mis on tuvastatud Google Project Zero teadlaste poolt, pluss avalikustamine võib eraldi taotluse alusel edasi lükkuda veel 14 päeva. Pärast 104 päeva tehakse haavatavuse kohta teave avalikuks, isegi kui probleem jääb lahendamata.

Aastatel 2019–2021 tuvastas projekt 376 probleemi, millest 351 (93,4%) parandati. 11 (2,9%) haavatavust jäi parandamata ja veel 14 (3,7%) probleemi märgiti kui mitteparandatavad (WontFix). Aastate jooksul on vähenenud haavatavuste arv, mille jaoks ei leitud parandamiseks määratud aega — 2021. aastal taotleti 14% puhul täiendavaid 14 päevasid parandamiseks ning ainult üks haavatavus ei olnud enne teabe avaldamist parandatud.

Tootja

Probleemide arv

Parandatud 90 päeva jooksul

Parandatud täiendavate 14 päeva jooksul

Ei ole parandatud määratud ajal

Keskmine päevade arv parandamiseks

Apple

84

73 (87%)

7 (8%)

4 (5%)

69

Microsoft

80

61 (76%)

15 (19%)

4 (5%)

83

Google

56

53 (95%)

2 (4%)

1 (2%)

44

Linux

25

24 (96%)

0 (0%)

1 (4%)

25

Adobe

19

15 (79%)

4 (21%)

0 (0%)

65

Mozilla

10

9 (90%)

1 (10%)

0 (0%)

46

Samsung

10

8 (80%)

2 (20%)

0 (0%)

72

Oracle

7

3 (43%)

0 (0%)

4 (57%)

109

Teised*

55

48 (87%)

3 (5%)

4 (7%)

44

KOKKU

346

294 (84%)

34 (10%)

18 (5%)

61

Keskmiselt nõudis haavatavuste parandamise protsessi 2021. aastal 52 päeva, 2020. aastal — 54 päeva, 2019. aastal — 67 päeva ning 2018. aastal — 80 päeva. Kiireim oli haavatavuste kõrvaldamine Linuxi tuumas — keskmiselt 15, 22 ja 32 päeva 2021., 2020. ja 2019. aastatel. Ainus, kes kõige aeglasemalt parandusi välja andis, oli Microsoft, kelle keskmine parandusaeg oli 76, 87 ja 85 päeva (esimese tabeli põhjal reageeris aeglasemalt Oracle — 109 päeva parandamiseks). Apple'i puhul oli keskmine parandusaeg 64, 63 ja 71 päeva. Google'i toodete puhul oli keskmine paranduste väljatöötamise aeg aastatel 53, 22 ja 49 päeva.

Tootja

Vead 2019. aastal

(keskmised päevad parandamiseks)

Vead 2020. aastal

(keskmised päevad parandamiseks)

Vead 2021. aastal

(keskmised päevad parandamiseks)

Apple

61 (71)

13 (63)

11 (64)

Microsoft

46 (85)

18 (87)

16 (76)

Google

26 (49)

13 (22)

17 (53)

Linux

12 (32)

8 (22)

5 (15)

Teised*

54 (63)

35 (54)

14 (29)

KOKKU

199 (67)

87 (54)

63 (52)

Browservalmistajate seas on kiireim paranduste väljatöötamine Chrome'ile, kuid pärast paranduse ilmumist vabastab Firefox kiiremini (Chrome'is ja Safari's on juba koodis parandatud haavatavus kaua aega kasutajatele kätte toimetamata, mida kurjategijad ära kasutavad).

Puhver Probleemide arvKeskmine aega päevades probleemist teavitamisest paranduse avaldamiseniKeskmine aega patši avaldamisest toote väljaandmiseniKeskmine aega haavatavusest teavitamisest paranduse väljaandmiseni

Chrome

40

5.3

24.6

29.9

WebKit

27

11.6

61.1

72.7

Firefox

8

16.6

21.1

37.8

Kokku

75

8.8

37.3

46.1

Allikas: opennet.ru