Pesquisadores da equipe do Google Project Zero resumiram dados sobre o tempo de resposta dos fabricantes para a identificação de novas vulnerabilidades em seus produtos. De acordo com a política do Google, os fabricantes têm 90 dias para corrigir as vulnerabilidades descobertas pelos pesquisadores do Google Project Zero, além de um pedido separado que pode permitir um extensão pública de 14 dias. Após 104 dias, as informações sobre a vulnerabilidade são divulgadas, mesmo que o problema permaneça sem correção.
De 2019 a 2021, o projeto identificou 376 problemas, dos quais 351 foram corrigidos (93,4%). Ficaram sem correção 11 (2,9%) vulnerabilidades, e mais 14 (3,7%) problemas foram marcados como não corrigíveis (WontFix). Com o passar dos anos, houve uma diminuição no número de vulnerabilidades cujas correções não foram entregues dentro do prazo estipulado — em 2021, 14% solicitaram 14 dias adicionais para a correção e apenas uma vulnerabilidade não foi corrigida até a divulgação das informações.
Fabricante
Número de problemas
Corrigido em 90 dias
Corrigido em 14 dias adicionais
Não corrigido dentro do prazo
Número médio de dias até a correção
Apple
84
73 (87%)
7 (8%)
4 (5%)
69
Microsoft
80
61 (76%)
15 (19%)
4 (5%)
83
56
53 (95%)
2 (4%)
1 (2%)
44
Linux
25
24 (96%)
0 (0%)
1 (4%)
25
Adobe
19
15 (79%)
4 (21%)
0 (0%)
65
Mozilla
10
9 (90%)
1 (10%)
0 (0%)
46
Samsung
10
8 (80%)
2 (20%)
0 (0%)
72
Oracle
7
3 (43%)
0 (0%)
4 (57%)
109
Outros*
55
48 (87%)
3 (5%)
4 (7%)
44
TOTAL
346
294 (84%)
34 (10%)
18 (5%)
61
Em média, levaram 52 dias para desenvolver a correção de vulnerabilidades em 2021, 54 dias em 2020, 67 dias em 2019 e 80 dias em 2018. As vulnerabilidades foram corrigidas mais rapidamente no kernel do Linux — em média, 15, 22 e 32 dias em 2021, 2020 e 2019, respectivamente. A Microsoft foi a mais lenta na correção, com uma média de 76, 87 e 85 dias (na primeira tabela, a Oracle teve um tempo médio mais lento, com 109 dias para a correção). Para a Apple, a média foi de 64, 63 e 71 dias. Nos produtos do Google, o tempo médio para o desenvolvimento de correções foi de 53, 22 e 49 dias ao longo dos anos.
Fornecedor
Bugs em 2019
(dias médios para correção)
Bugs em 2020
(dias médios para correção)
Bugs em 2021
(dias médios para correção)
Apple
61 (71)
13 (63)
11 (64)
Microsoft
46 (85)
18 (87)
16 (76)
26 (49)
13 (22)
17 (53)
Linux
12 (32)
8 (22)
5 (15)
Outros*
54 (63)
35 (54)
14 (29)
TOTAL
199 (67)
87 (54)
63 (52)
Entre os fabricantes de navegadores, a correção é mais rapidamente disponibilizada para o Chrome, mas o Firefox libera o patch após a disponibilização da correção de forma mais ágil (no Chrome e no Safari, a vulnerabilidade já corrigida no código permanece disponível aos usuários por um longo período, o que é explorado por criminosos).
Chrome
40
5.3
24.6
29.9
WebKit
27
11.6
61.1
72.7
Firefox
8
16.6
21.1
37.8
Total
75
8.8
37.3
46.1
Fonte: opennet.ru
