グーグル「Project Zero」が発見した脆弱性の約96％は期限内に修正される

　Googleの「Project Zero」チームによると、ソフトウェアで発見し、ベンダーに報告するセキュリティの問題の約95.8％は、90日の期限内に修正されているという。この期限を過ぎると、情報が一般公開される。

提供：Jovan V. Nikolic

　Project Zeroチームが米国時間7月31日に公表した統計データの中で述べたところによると、2019年7月30日時点で、Project Zeroではこれまでに計1585件の脆弱性をさまざまなハードウェアベンダーとソフトウェアベンダーに報告しており、「修正済み」の状態になっている。

　このうち、ベンダーが期限までにパッチを提供できなかったのは66件だけだったという。それらのケースでは、フィックスがユーザーに公開される前に、Project Zeroチームの研究者が脆弱性に関する技術的情報を一般公開することになった。

　Project Zeroが始まってから最初の数カ月間、この90日間という標準の期限は厳格に運用されていた。

　しかし、Googleは2015年2月、特定の条件下でさらに14日間の猶予期間を追加し、期限を延長するようになった。

　この猶予期間の導入により、バグ報告の作業が改善されたとGoogleは述べている。企業は、より長い時間をかけてパッチを用意できるようになった。さらに、理論的にはアップデートを公開する準備が整っているが、ベンダーが月に1回のロールアウトを厳守しているため、バグが修正済みであるにもかかわらず、90日の期限に間に合わないといったケースにも14日間の猶予期間で対応することが可能になった。

　この期限の調整は、同プログラムの全体的な効率と統計データの改善にも効果があった。

　GoogleのProject Zeroチームは、「猶予期間が選択可能になってからの期間（2015年2月13日～2019年7月30日まで）に限定すると、修正された問題は1434件だった」と述べた。

　「このうち、1224件は90日以内に修正され、174件は14日の猶予期間内に修正された。これにより、残りの36件の脆弱性については、ユーザーにパッチが提供される前に、情報が一般公開された。つまり97.5％の脆弱性は期限内に修正された」

　Project Zeroの研究者は過去数年間、脆弱性が修正された場合でも、非常に詳細な脆弱性の説明や概念実証（PoC）エクスプロイトコードをリリースすることについて非難されてきた。このようなレポートは攻撃者がユーザーを攻撃するエクスプロイトを開発することにつながると多くのセキュリティ専門家は主張している。

　しかし先週公開されたFAQのページで、脆弱性のレポートは攻撃者よりもセキュリティを保護する側の人達に役立っているとProject Zeroは述べている。

　Project Zeroは、「脆弱性に関する情報の有用性は、セキュリティを保護する人と攻撃者では非常に異なっており、保護する側は攻撃者と同じぐらい深く分析する余裕がない場合が多いとわれわれは想定している」とし、「守る側の人たちからは、彼らとユーザーが直面するリスクについてさらなる情報がほしいとのフィードバックをもらっている」と説明している。

　さらにProject Zeroは、脆弱性のレポートを公開する際には、脆弱性がパッチされているかどうかということに関わらず、レポートに入っているPoCコードは完全なエクスプロイトチェーンのものではないことを明確に示した。

　またProject Zeroは、ほかのセキュリティ研究者にも開示期限のポリシーを利用することを勧めると述べている。