I ricercatori del Google Project Zero hanno riassunto i dati sui tempi di reazione dei produttori di fronte alle nuove vulnerabilit\u00e0 scoperte nei loro prodotti. Secondo la politica di Google, per risolvere le vulnerabilit\u00e0 scoperte dai ricercatori di Google Project Zero si hanno 90 giorni, con la possibilit\u00e0 di estendere la divulgazione pubblica di ulteriori 14 giorni su richiesta separata. Dopo 104 giorni, i dettagli sulle vulnerabilit\u00e0 vengono divulgati anche se il problema rimane irrisolto. <\/p>\n
Dal 2019 al 2021, il progetto ha identificato 376 problemi, di cui 351 (93,4%) sono stati risolti. Sono rimaste 11 vulnerabilit\u00e0 (2,9%) non risolte, mentre altre 14 (3,7%) sono state contrassegnate come non risolvibili (WontFix). Negli anni c'\u00e8 stata una diminuzione delle vulnerabilit\u00e0 la cui correzione non rientra nel termine previsto per la preparazione delle patch: nel 2021, per il 14% sono stati richiesti altri 14 giorni per la correzione e solo una vulnerabilit\u00e0 non \u00e8 stata risolta prima della disclosure.
Produttore<\/p>\n
Numero di problemi<\/p>\n
Risolto in 90 giorni<\/p>\n
Risolto in ulteriori 14 giorni<\/p>\n
Non risolto entro il termine <\/p>\n
Numero medio di giorni fino alla risoluzione<\/p>\n
Apple<\/p>\n
84<\/p>\n
73 (87%)<\/p>\n
7 (8%)<\/p>\n
4 (5%)<\/p>\n
69<\/p>\n
Microsoft<\/p>\n
80<\/p>\n
61 (76%)<\/p>\n
15 (19%)<\/p>\n
4 (5%)<\/p>\n
83<\/p>\n
Google<\/p>\n
56<\/p>\n
53 (95%)<\/p>\n
2 (4%)<\/p>\n
1 (2%)<\/p>\n
44<\/p>\n
Linux<\/p>\n
25<\/p>\n
24 (96%)<\/p>\n
0 (0%)<\/p>\n
1 (4%)<\/p>\n
25<\/p>\n
Adobe<\/p>\n
19<\/p>\n
15 (79%)<\/p>\n
4 (21%)<\/p>\n
0 (0%)<\/p>\n
65<\/p>\n
Mozilla<\/p>\n
10<\/p>\n
9 (90%)<\/p>\n
1 (10%)<\/p>\n
0 (0%)<\/p>\n
46<\/p>\n
Samsung<\/p>\n
10<\/p>\n
8 (80%)<\/p>\n
2 (20%)<\/p>\n
0 (0%)<\/p>\n
72<\/p>\n
Oracle<\/p>\n
7<\/p>\n
3 (43%)<\/p>\n
0 (0%)<\/p>\n
4 (57%)<\/p>\n
109<\/p>\n
Others*<\/p>\n
55<\/p>\n
48 (87%)<\/p>\n
3 (5%)<\/p>\n
4 (7%)<\/p>\n
44<\/p>\n
TOTALE<\/p>\n
346<\/p>\n
294 (84%)<\/p>\n
34 (10%)<\/p>\n
18 (5%)<\/p>\n
61<\/p>\n
<\/center> <\/p>\n
In media, nel 2021, la creazione di una correzione per una vulnerabilit\u00e0 richiedeva 52 giorni, nel 2020 54 giorni, nel 2019 67 giorni e nel 2018 80 giorni. Le vulnerabilit\u00e0 sono state risolte pi\u00f9 rapidamente nel kernel di Linux, con una media di 15, 22 e 32 giorni nel 2021, 2020 e 2019. Microsoft \u00e8 stata l'azienda pi\u00f9 lenta a emettere correzioni, con una media di 76, 87 e 85 giorni (dalla prima tabella emerge che Oracle ha reagito pi\u00f9 lentamente, impiegando 109 giorni per la correzione). Apple ha impiegato in media 64, 63 e 71 giorni per le correzioni. Nei prodotti Google, il tempo medio di creazione delle patch \u00e8 stato di 53, 22 e 49 giorni negli anni.
Vendor<\/p>\n
Bugs in 2019<\/p>\n
(giorni medi per la correzione)<\/p>\n
Bugs in 2020<\/p>\n
(giorni medi per la correzione)<\/p>\n
Bugs in 2021<\/p>\n
(giorni medi per la correzione)<\/p>\n
Apple<\/p>\n
61 (71)<\/p>\n
13 (63)<\/p>\n
11 (64)<\/p>\n
Microsoft<\/p>\n
46 (85)<\/p>\n
18 (87)<\/p>\n
16 (76)<\/p>\n
Google<\/p>\n
26 (49)<\/p>\n
13 (22)<\/p>\n
17 (53)<\/p>\n
Linux<\/p>\n
12 (32)<\/p>\n
8 (22)<\/p>\n
5 (15)<\/p>\n
Others*<\/p>\n
54 (63)<\/p>\n
35 (54)<\/p>\n
14 (29)<\/p>\n
TOTALE<\/p>\n
199 (67)<\/p>\n
87 (54)<\/p>\n
63 (52)<\/p>\n
<\/center> <\/p>\n
Tra i produttori di browser, le correzioni sono state formulate pi\u00f9 rapidamente per Chrome, ma Firefox rilascia gli aggiornamenti pi\u00f9 velocemente dopo il rilascio della correzione (in Chrome e Safari, una vulnerabilit\u00e0 gi\u00e0 corretta rimane a lungo non distribuita agli utenti, di cui approfittano i malintenzionati).
Chrome<\/p>\n
40<\/p>\n
5.3<\/p>\n
24.6<\/p>\n
29.9<\/p>\n
WebKit<\/p>\n
27<\/p>\n
11.6<\/p>\n
61.1<\/p>\n
72.7<\/p>\n
Firefox<\/p>\n
8<\/p>\n
16.6<\/p>\n
21.1<\/p>\n
37.8<\/p>\n
Totale<\/p>\n
75<\/p>\n
8.8<\/p>\n
37.3<\/p>\n
46.1<\/p>\n