Analiza: Firefox jest najbardziej dziurawy, ale najszybciej łatany

Z wynikiem 115 naprawionych luk w roku 2008 Firefox zdystansował wszystkie inne przeglądarki razem wzięte: Internet Explorera (31 luk), Safari (32 luki) i Operę (30) – stwierdza specjalizująca się w zabezpieczeniach firma Secunia w swoim raporcie za miniony rok. Programistom Mozilli trzeba jednak przyznać, że ujawnione luki były usuwane znacznie szybciej niż np. w przypadku Microsoftu.

Sama Secunia jednak w swoim raporcie odnosi się jedynie do tych nielicznych luk, w przypadku których w momencie publikacji nie był jeszcze udostępniony żaden patch. Według dokumentu w Internet Explorerze takich luk było sześć, w Firefoksie trzy. Dla jednej z luk oznaczonych jako krytyczne programiści z Redmond potrzebowali 11. dni na przygotowanie łaty – ale w tym miejscu trzeba zauważyć, że luka dotyczyła skomplikowanego problemu z Same Origin Policy oraz z Cross Domain Policy.

Pod koniec stycznia ewangelista ds. bezpieczeństwa z firmy Microsoft Jeff Jones w przedstawionym przez siebie opracowaniu twierdził, że użytkownicy Firefoksa musieli przez 28. dni używać przeglądarki z otwartymi lukami w zabezpieczeniach. Jego dane spotkały się jednak z krytyką, która wskazywała na niepoprawny sposób wyliczeń Jonesa.
Raport Secunii za rok 200. zawiera poza tym wyniki osiągnięte za pomocą Personal Software Inspectora (PSI) – stworzonego przez tę firmę narzędzia do inwentaryzacji. Wśród dziesięciu najczęściej zainstalowanych aplikacji co najmniej jedna czwarta była dziurawa z powodu niezainstalowanych aktualizacji. I tak dla przykładu w przypadku Sun Java JRE 1.5.x/5.x 96 procent instalacji nie było zaktualizowanych, a Adobe Flash Player 9.x był niezaktualizowany w 48 procentach przypadków. Adobe Reader 8.x stwarzał okazję do ataku na co czwartym komputerze.

Raport Secunii niesie też ze sobą dobre wieści: według obserwacji specjalistów z tej firmy liczba exploitów Zero Day spadła z 20 w roku 2007 do 12 w roku 2008. Spośród tych 12 według raportu 9 dotyczyło oprogramowani Microsoftu, a pozostałe trzy exploity wykorzystywały lukę w kontrolerze ActiveX dla Internet Explorera.

wydanie internetowe www.heise-online.pl