Kerentanan keamanan yang dilaporkan oleh Project Zero pada tahun 2021 ditambal rata-rata 28 hari lebih cepat daripada tahun 2019, tim peneliti keamanan nol hari Google telah mengungkapkan.
Vendor perangkat keras dan perangkat lunak membutuhkan waktu rata-rata 52 hari untuk memperbaiki kelemahan keamanan tahun lalu, jauh di bawah tenggat waktu 90 hari dan turun dari rata-rata waktu rata-rata 80 hari dua tahun sebelumnya.
Hanya satu bug yang melebihi tenggat waktu perbaikannya, meskipun 14% memerlukan masa tenggang 14 hari tambahan sebelum perbaikan yang berfungsi dirilis.
“Kami menduga bahwa tren ini mungkin disebabkan oleh fakta bahwa kebijakan pengungkapan yang bertanggung jawab telah menjadi standar de-facto di industri, dan vendor lebih siap untuk bereaksi cepat terhadap laporan dengan tenggat waktu yang berbeda,” kata Ryan Schoen dari Project Zero dalam sebuah posting blog.
“Kami juga menduga bahwa vendor telah belajar praktik terbaik dari satu sama lain, karena ada peningkatan transparansi dalam industri ini.”
Namun, Schoen memperingatkan bahwa laporan Project Zero mungkin merupakan outlier “karena mereka dapat menerima tindakan lebih cepat karena ada risiko nyata pengungkapan publik (seperti yang akan diungkapkan tim jika kondisi tenggat waktu tidak terpenuhi) dan Project Zero adalah sumber tepercaya dari sumber yang dapat diandalkan. laporan bug”.
Sepanjang 2019, 2020, dan 2021, Project Zero melaporkan 376 masalah kepada vendor di bawah tenggat waktu perbaikan standar 90 hari, 351 (93,4%) di antaranya telah diperbaiki, sementara vendor menolak untuk memperbaiki 14 (3,7%) bug.
Pada 25 hari, Linux memiliki waktu rata-rata tercepat untuk perbaikan, diikuti oleh Google (44) dan Mozilla (46). Yang paling lambat adalah Oracle (109) tetapi dari sampel kecil tujuh bug, diikuti oleh Microsoft (83) dan Samsung (72).
Selengkapnya: Port Swigger
