Google Project Zero统计：大部分厂商能在90天内修复漏洞

Google 安全团队 Project Zero 近日分享了过去几年安全研究的统计数据，在 2019 年 1 月至 2021 年 12 月期间，团队共计报告了 376 个漏洞，期限为 90 天。其中 351 个(93.4%)已被修复，14 个(3.7%)被供应商标记为“WontFix”，11 个(2.9%)仍未修复。然而，在最后一类中，有 3 个仍在 90 天的期限内。

在所有被发现的漏洞中，微软产品中检测到了 96 个(26%)，苹果检测到了 85 个(23%)，而 Google 自己检测到了 60 个(16%)。具体数据如下：

从上面可以看出，供应商的情况都有积极的变化。然而，有趣的是，在 2021 年，宽限期被要求了 9 次，其中一半是由微软提出的。

在移动方面，iOS 有 76 个 BUG 被报告，三星产品有 10 个，Pixels 有 6 个。iOS 的平均修复时间为 70 天，而其他两个品牌为 72 天。如果你想知道为什么在iOS上检测到如此多的安全缺陷，这是因为苹果将大量的应用程序作为操作系统的一部分，而 Android 的应用程序更新主要是通过 Google Play 管理，所以不属于操作系统级别的缺陷。

在浏览器方面，Chrome 有 40 个 BUG，苹果的 WebKit 有 27 个 BUG，Firefox 有 8 个 BUG。WebKit 修补缺陷的速度最慢，为72天，Chrome 为30天，而 Firefox 为 38 天。

Google Project Zero 指出：

总的来说，我们看到数据中出现了一些有希望的趋势。供应商正在修复他们收到的几乎所有的 BUG，而且他们通常在 90 天的期限内完成，必要时还有14天的宽限期。在过去的三年里，供应商在大多数情况下都加快了他们的补丁，有效地将整个平均修复时间减少到约52天。

在2021年，只有一个 90 天的期限被超过。我们怀疑这种趋势可能是由于负责任的披露政策已经成为行业的事实标准，供应商更有能力对不同期限的报告做出快速反应。我们还怀疑，由于行业的透明度越来越高，供应商已经从彼此那里学到了最佳做法。

一个重要的注意事项：我们知道，与其他错误报告相比，来自Project Zero的报告可能是异常值，因为它们可能会得到更快的行动，因为存在着公开披露的实际风险(因为如果最后期限条件没有得到满足，团队就会披露)，而且Project Zero是可靠的错误报告的可信来源。

我们鼓励供应商发布指标，即使是高水平的指标，以便更好地全面了解整个行业安全问题的修复速度，并继续鼓励其他安全研究人员分享他们的经验。