I ricercatori del team Google Project Zero hanno riassunto i dati sui tempi di reazione dei produttori riguardo alle nuove vulnerabilità scoperte nei loro prodotti. Secondo la politica di Google, per risolvere le vulnerabilità individuate dai ricercatori di Google Project Zero si ha a disposizione 90 giorni, con la possibilità di una ulteriore pubblicità che può essere posticipata di altri 14 giorni su richiesta specifica. Dopo 104 giorni, le informazioni sulla vulnerabilità vengono divulgate anche se il problema rimane irrisolto.
Dal 2019 al 2021, il progetto ha identificato 376 problemi, di cui 351 sono stati risolti (93,4%). 11 (2,9%) vulnerabilità sono rimaste non corrette, e altri 14 (3,7%) problemi sono stati contrassegnati come non risolvibili (WontFix). Negli anni si osserva una diminuzione del numero di vulnerabilità per le quali le correzioni non vengono completate entro i termini stabiliti — nel 2021 per il 14% sono stati richiesti ulteriori 14 giorni per la correzione e solo una vulnerabilità non è stata corretta prima della divulgazione delle informazioni.
Produttore
Numero di problemi
Corretto entro 90 giorni
Corretto nei 14 giorni aggiuntivi
Non corretto entro il tempo stabilito
Numero medio di giorni fino alla correzione
Apple
84
73 (87%)
7 (8%)
4 (5%)
69
Microsoft
80
61 (76%)
15 (19%)
4 (5%)
83
56
53 (95%)
2 (4%)
1 (2%)
44
Linux
25
24 (96%)
0 (0%)
1 (4%)
25
Adobe
19
15 (79%)
4 (21%)
0 (0%)
65
Mozilla
10
9 (90%)
1 (10%)
0 (0%)
46
Samsung
10
8 (80%)
2 (20%)
0 (0%)
72
Oracle
7
3 (43%)
0 (0%)
4 (57%)
109
Altri*
55
48 (87%)
3 (5%)
4 (7%)
44
TOTALE
346
294 (84%)
34 (10%)
18 (5%)
61
In media, la correzione delle vulnerabilità nel 2021 ha richiesto 52 giorni, nel 2020 54 giorni, nel 2019 67 giorni e nel 2018 80 giorni. Le vulnerabilità sono state risolte più rapidamente nel kernel di Linux, con una media di 15, 22 e 32 giorni nel 2021, 2020 e 2019. La società che ha impiegato più tempo per la correzione è stata Microsoft, con una media di 76, 87 e 85 giorni (nella prima tabella, Oracle ha reagito più lentamente, con 109 giorni per la correzione). Apple ha impiegato in media 64, 63 e 71 giorni per le correzioni. Nei prodotti Google, il tempo medio di creazione delle correzioni negli anni è stato di 53, 22 e 49 giorni.
Fornitore
Vulnerabilità nel 2019
(giorni medi per la correzione)
Vulnerabilità nel 2020
(giorni medi per la correzione)
Vulnerabilità nel 2021
(giorni medi per la correzione)
Apple
61 (71)
13 (63)
11 (64)
Microsoft
46 (85)
18 (87)
16 (76)
26 (49)
13 (22)
17 (53)
Linux
12 (32)
8 (22)
5 (15)
Altri*
54 (63)
35 (54)
14 (29)
TOTALE
199 (67)
87 (54)
63 (52)
Tra i produttori di browser, le correzioni vengono formulate più rapidamente per Chrome, ma il rilascio dopo la creazione di una correzione è più veloce su Firefox (in Chrome e Safari, la vulnerabilità corretta nel codice rimane a lungo non implementata per gli utenti, di cui approfittano gli aggressori).
Chrome
40
5.3
24.6
29.9
WebKit
27
11.6
61.1
72.7
Firefox
8
16.6
21.1
37.8
Totale
75
8.8
37.3
46.1
Fonte: opennet.ru
