O relatórios de vulnerabilidades estão voltando ao normal

Das 11.121 vulnerabilidades agregadas durante o primeiro semestre de 2020, 818 foram o resultado do Efeito Fujiwhara da Vulnerabilidade, um termo que descreve os eventos quando as programações de divulgação de vulnerabilidades da Microsoft e da Oracle entram em conflito.

“A Segurança Baseada em Risco soou o alarme em janeiro. Sabíamos que esses eventos, sem dúvida, se tornariam uma tensão significativa para a equipe de TI e os gerentes de vulnerabilidade ”, comentou Brian Martin, vice-presidente de inteligência de vulnerabilidade em segurança baseada em risco .

“Comparado a outras Patch Tuesdays deste ano, o maior número relatou ‘apenas’ 273 novas vulnerabilidades. No entanto, durante o evento Fujiwhara em abril, vimos 506 novas vulnerabilidades relatadas, 79% das quais vieram de sete fornecedores.

“Infelizmente para todos nós, é provável que isso aconteça com mais frequência no futuro. O grande volume faz com que se pergunte quem realmente se beneficia dessa divulgação de vulnerabilidades de uma só vez. Certamente não os clientes pagantes. ”

Fornecedores e produtos com as contagens de vulnerabilidade mais altas

O relatório vai mais longe nos detalhes do cenário de divulgação listando e dividindo os fornecedores e produtos com as contagens de vulnerabilidade mais altas. O mais notável é a Microsoft, que viu um aumento de 150% na quantidade de vulnerabilidades divulgadas durante os primeiros seis meses de 2020 em comparação com todo o ano de 2019. O Windows 10 foi o produto com as vulnerabilidades mais divulgadas no final do segundo trimestre.

Uma preocupação crescente é que, apesar do alto número de vulnerabilidades da Microsoft e da Vulnerabilidade Fujiwhara, 29,3% de todas as vulnerabilidades divulgadas durante o primeiro semestre de 2020 não têm CVE ID, com 3,3% estando no status RESERVADO, o que significa que as informações para essas vulnerabilidades são não disponível no banco de dados CVE / NVD .

“Dada a grande quantidade de vulnerabilidades divulgadas, as organizações que dependem do CVE / NVD terão dificuldade em encontrar informações oportunas e acionáveis”, concluiu o Sr. Martin.

“Os metadados mínimos encontrados no NVD não são suficientes para as organizações priorizarem e corrigirem de forma adequada. As organizações estão aumentando seu próprio risco ao confiar no CVE para fornecer dados completos e oportunos. O nível atual de divulgações de vulnerabilidade que as organizações enfrentam diariamente é mais do que a CVE pode suportar, e só vai piorar. ”

Fonte: https://www.helpnetsecurity.com/2020/08/28/vulnerability-reporting-is-returning-to-normal/