Onderzoekers van het Google Project Zero-team hebben gegevens verzameld over de reactietijd van fabrikanten op de ontdekking van nieuwe kwetsbaarheden in hun producten. Volgens het beleid van Google hebben fabrikanten 90 dagen om kwetsbaarheden op te lossen die door onderzoekers van Google Project Zero zijn ontdekt, plus een extra 14 dagen kan openbaarmaking op verzoek worden uitgesteld. Na 104 dagen worden de details van de kwetsbaarheid openbaar, zelfs als het probleem niet is opgelost.
Van 2019 tot 2021 heeft het project 376 problemen geïdentificeerd, waarvan 351 (93,4%) zijn opgelost. 11 (2,9%) kwetsbaarheden zijn onopgelost gebleven en nog eens 14 (3,7%) problemen zijn gemarkeerd als niet op te lossen (WontFix). In de loop der jaren is er een afname te zien in het aantal kwetsbaarheden waarvoor oplossingen binnen de gestelde termijn niet worden gerealiseerd - in 2021 vroeg 14% om extra 14 dagen voor oplossing en slechts één kwetsbaarheid bleef onopgelost tot de openbaarmaking.
Fabrikant
Aantal problemen
Opgelost binnen 90 dagen
Opgelost binnen extra 14 dagen
Niet opgelost binnen de gestelde tijd
Gemiddeld aantal dagen tot oplossing
Apple
84
73 (87%)
7 (8%)
4 (5%)
69
Microsoft
80
61 (76%)
15 (19%)
4 (5%)
83
56
53 (95%)
2 (4%)
1 (2%)
44
Linux
25
24 (96%)
0 (0%)
1 (4%)
25
Adobe
19
15 (79%)
4 (21%)
0 (0%)
65
Mozilla
10
9 (90%)
1 (10%)
0 (0%)
46
Samsung
10
8 (80%)
2 (20%)
0 (0%)
72
Oracle
7
3 (43%)
0 (0%)
4 (57%)
109
Overigen*
55
48 (87%)
3 (5%)
4 (7%)
44
TOTAAL
346
294 (84%)
34 (10%)
18 (5%)
61
Gemiddeld kostte het in 2021 52 dagen om een kwetsbaarheid op te lossen, in 2020 54 dagen, in 2019 67 dagen en in 2018 80 dagen. Kwetsbaarheden werden het snelst opgelost in de Linux-kernel - gemiddeld 15, 22 en 32 dagen in 2021, 2020 en 2019. Microsoft was de langzaamste, waarbij het gemiddeld 76, 87 en 85 dagen kostte om een oplossing te bieden (volgens de eerste tabel reageerde Oracle het langzaamst met 109 dagen voor een oplossing). Apple had gemiddeld 64, 63 en 71 dagen nodig voor oplossingen. Voor Google-producten was de gemiddelde tijd om oplossingen per jaar 53, 22 en 49 dagen.
Leverancier
Bugs in 2019
(gem. dagen tot oplossing)
Bugs in 2020
(gem. dagen tot oplossing)
Bugs in 2021
(gem. dagen tot oplossing)
Apple
61 (71)
13 (63)
11 (64)
Microsoft
46 (85)
18 (87)
16 (76)
26 (49)
13 (22)
17 (53)
Linux
12 (32)
8 (22)
5 (15)
Overigen*
54 (63)
35 (54)
14 (29)
TOTAAL
199 (67)
87 (54)
63 (52)
Van de browserfabrikanten worden oplossingen het snelst geleverd voor Chrome, maar Firefox geeft sneller een release na de beschikbaarheid van een oplossing (in Chrome en Safari blijft een al in de code opgeloste kwetsbaarheid relatief lang niet bij de gebruikers terechtkomen, wat door kwaadwillenden wordt benut).
Chrome
40
5.3
24.6
29.9
WebKit
27
11.6
61.1
72.7
Firefox
8
16.6
21.1
37.8
Total
75
8.8
37.3
46.1
Bron: opennet.ru
