Firefox had meeste bugs
In Firefox zijn de eerste helft van dit jaar meer bugs gevonden dan in enige andere browser. En ook in Apples Safari werden meer lekken gevonden dan in de browser van Microsoft. Dat is een van de opvallende uitkomsten van monniken-telwerk van webbeveiligingsbedrijf Cenzic. Maar het opvallendst is wellicht dat browsers voor slechts een gering deel van de kwetsbaarheden zorgen.
Cenzic nam verschillende databases met meldingen van bugs onder de loep, waaronder de bekende CVE-database. Daarin trof men over de eerste helft van dit jaar 3100 meldingen van lekken aan. Dat was zo’n 10 procent meer dan de 2835 lekken die in de tweede helft van 2008 werden gerapporteerd.
Het merendeel van de gerapporteerde lekken, 78 procent, schuilt in webgerelateerde software. Maar anders dan op grond van de publiciteit wellicht gedacht wordt, zijn de webbrowsers niet de hoofdschuldigen. Webbrowsers waren goed voor 8 procent van de gemelde kwetsbare plekken in webgerelateerde software. Van die ruim 190 lekken in browsers zat 44 procent in Firefox. Safari tekende voor 35 procent van de lekken, en Internet Explorer voor 15 procent. Opera sluit de rij met 6 procent van de lekken in webbrowsers in de eerste helft van 2009.
Overigens past hierbij wel de kanttekening dat deze cijfers alleen iets zeggen over de kwaliteit van het ontwikkelproces. Er kan niet uit geconcludeerd worden dat Firefox onveiliger is dan de andere browsers. Om te beginnen maakt Cenzic geen onderscheid naar de ernst van het lek c.q. het gemak waarmee het te exploiteren is. Ook wordt niet gewogen hoe snel gereageerd wordt op het lek. En ten slotte, lekken die slechts bij een paar insiders bekend zijn, zijn altijd nog gevaarlijker dan algemeen bekende lekken.
Bij de kwetsbaarheden in webgerelateerde software spelen de ‘usual suspects’ de hoofdrol. 26 procent opende de weg voor SQL injection, 17 procent maakte een cross site scripting aanval mogelijk, 14 procent had betrekking op onvolkomenheden bij authenticatie en autorisatie, en in 12 procent van de gevallen was misbruik van verkeerd gedimensioneerde buffers mogelijk.
Het rapport van Cenzic staat online.
Zie ook:
Reacties
Plaats een reactie op dit artikel
jerone
| 11 november 2009 | 08:33
Tevens houd dit onderzoek niet rekening mee dat er heel veel Firefox gebruikers zijn die een lek vinden en dit melden. Firefox heeft in tegenstelling tot de andere browsers een enorme groep die zich verantwoordelijk hiervoor voelt. Dit betekend dat er zoveel lekken zijn gevonden mede dankzij de gebruikers, terwijl bij de andere browser deze lekken nog gevonden moeten worden.
Beetje vertekende uitkomst.