Nejvíc zranitelností CVE měl v minulém roce Android

No, u zranitelností distribuce by mě zajímalo, jak se to počítá. Ze všech balíčků? Ze všech balíčků kromě contrib/extra? Ze všech balíčků v defaultní instalaci? Zahrnují se všechny zranitelnosti, nebo jen ty, které přinesla samotná distribuce?

V původním článku jsem to rychlým projetím nenašel a bez této informace jsou to nevypovídající hausnumera. Například to může stranit malým distribucím, aniž by byly skutečně lepší.

Laskavě sem netahej souvislosti, které jsou nad mentální možnosti jedinců, kteří dané statistiky tvoří. Kdyby byli k něčemu, tak nedělají statistiky pro PR, ale něco užitečného.

... :)

Správci pouštějí do repozitáře aplikace a knihovny bez chyb. Ty chyby se objeví až posléze, když už je distribuce vyrytá do CD nebo DVD. Tudíž počet chyb v distribuci nemá žádnou vypovídací (ani vypovídající) hodnotu. Vlastně je to jen měřítko velikosti (počtu balíčků) distribuce a jejich popularity (v populárnějších se logicky najdou chyby častěji).

Jak říkával pan Goebbels "věřím jen té statistice, kterou si sám zfalšuji".

Je jedno, co je kam vyryteho, nikdo neceka, ze na starem CD bude vse zcela aktualni a bez der. Dulezite je, co se stane, kdyz to po instalaci updatuju, tedy jak rychle jsou diry ucpany.

Určitě je rozdíl v tom, když vyjde oprava chyby v upstreamu, kdy se dostane do dané distribuce. Ne že by tohle ukazovala uvedená statistika, ale kritérium to je vypovídající a dost podstatné.

Pokud něco postihuje Debian, je skutečně celkem jedno, kdo za to může. Ale je podstatné, jestli to postihuje například všechny uživatele Debianu připojené k Internetu, nebo třeba jen pár, kteří si nainstalovali nějaký obskurní balíček. To je dost zásadní.

S tím nelze než souhlasit. Metodiku jsem nezkoumal, takže nevím jestli jsou postiženi všichni uživatelé. Do jisté míry by to mělo být vidět v porovnání počtu bugů seskupených podle severity, jenže ta se odvíjí i od rozšíření daného SW.

Pokud budeme brát CVSS base score, takže tam rozšíření není. Jiné skóre zase do těchto statistik těžko rychle vyhodnotíte…

Rozšíření daného SW má vliv hlavně u masových útoků, ne tolik u targeted attacks. Navíc se to v čase mění a ne vždy se to snadno zjišťuje, takže dělat z toho statistiky není asi úplně sranda.

Plus má význam například doba opravy. Ani ta není v CVSS base score.

Ale na druhou stranu, pokud se zahrnují zranitelnosti všech balíčků (tedy si na desktopu započítejte několik prohlížečů, různé webové servery, relační i nerelační databáze atd… – co na tom, že nic z toho nepoužíváte), je asi celkem zbytečné v tomto kontextu řešit, jak se má vyhodnocovat severity.

Zvláštní, čekal bych, že ve Fedoře bude víc bugů než v RedHatu a ono to je naopak. Otázka je, jestli to brát vážně, když doteď nezjistili, že se iPhone OS už od roku 2010(!!!) jmenuje iOS.