CVE Details is een website die van verschillende systemen bijhoudt hoe kwetsbaar die zijn, en daar een lijst van publiceert. In hun lijst van de software met de meeste kwetsbaarheden in 2015 valt iets op, want daar staat Apple op plaats één en twee. Die eerste plaats is voor OS X, en iOS staat op de tweede plaats.

Niet iets om meteen blij mee te zijn, en een reden voor verschillende blogs op het web om te schijven dat Apple zijn veilige imago niet terecht heeft, maar de vraag is natuurlijk of dat inderdaad zo is.

Want als je goed naar die lijst van CVE Details kijkt, dan blijkt dat daar wel heel erg vreemde dingen mee aan de hand zijn. Zo staat OS X volgens deze lijst bovenaan met 384 gevonden problemen. Welke versie van OS X maakt kennelijk niet uit, want we komen dit besturingssysteem maar één keer in deze lijst tegen.

Maar als we naar Windows kijken dan zien we dat alle versies van dit besturingssysteem maar liefst 12 keer in diezelfde lijst staan. Als we die allemaal bij elkaar optellen, dan komt het aantal kwetsbaarheden op maar liefst 1.319 uit, en dat is toch echt een heleboel meer dan de 375 waar OS X op staat.

Zelfs als we alle server-versies van Windows er uit filteren, dan nog komt dat besturingssysteem nog steeds op nummer één uit, want dan komt de teller uit op 538. Dat "Iphone Os" op nummer twee staat met 375 stuks en Android op nummer met 130 kwetsbaarheden nemen we dan ook meteen wat heel wat minder serieus.

En dan hebben we het nog niet gehad over hoe serieus een bepaalde kwetsbaarheid is. Want liever 100 kwetsbaarheden die moeilijk te misbruiken zijn voor kwaadwillende hackers, dan één die makkelijk te misbruiken is en waar we allemaal in de praktijk last van kunnen hebben.

die jongens van Mickeysoft hebben kennelijk goed gelobbyd

Goed rekenen kan iedereen leren. Sjoemelen met cijfers is een vak apart.

Misschien helpt het om de bron van deze lijst te vermelden?

https://nvd.nist.gov/download.cfm#RSS

Dan zie je ook de splitsing in OS-versies e.d.
En klopt het hele verhaal al een heel stuk beter.

@ orange: ik zie aan het begin van dit nieuwsbericht een link staan, is die niet goed dan?

Nee. Want dat is niet de bron van de cijfers namelijk.

Dit wel...

@ orange: ik zie daar de database van de overheid, maar geen lijst.

En zelfs als daar wel een lijst zou staan, dan zou het toch nog steeds nieuws zijn dat CVE Details met die cijfers aan de haal gaat?

ik ben benieuwd wat de deskundigen hier zeggen als ze naar de lijst van deze problemen kijken.

Zie op de eerste pagina vooral DOS en EXEC kwetsbaarheden.

Het is te makkelijk om dit als gesjoemel en gelobby weg te zetten, je zult moeten aantonen waarom het niet klopt.

Ik kan dat niet dus graag onze deskundigen aan het woord.

De Windows versies zijn uitgesplitst, en OS X is op één hoop gegooid. Tel alle Windows lekken vanaf ME bij elkaar op, dan valt er iets te vergelijken...

Dit is een fake onderzoek.

Een onderzoeksinstantie die niet weet hoe de besturingssystemen die ze onderzoeken gespeld worden heeft mijn vertrouwen sowieso niet.

"Mac Os X" en Iphone Os"!  

anraadts om 13:09, 06-01-2016
@ orange: ik zie daar de database van de overheid, maar geen lijst.

En zelfs als daar wel een lijst zou staan, dan zou het toch nog steeds nieuws zijn dat CVE Details met die cijfers aan de haal gaat?

Het is een vreselijke site, maar daar zijn de cijfers te vinden die CVE heeft opgeteld.

CVE interpreteert ze niet helemaal zoals zou moeten. Vandaar dat ik de originele bron noem.

@ orange: jij lijkt de enige te zijn die daar de juiste cijfers vindt, misschien kan je ze hier met ons delen?

Naast dat alle OSX versies op 1 hoop zijn gegooid, worden Apache issues en andere open source (BSD) issues ook op deze hoop gegooid (daarnaast hebben OSX en iOs overeenkomsten waardoor deze dezelfde vulnerabilities kennen):

Zelfs slashdotters hebben hun bedenkingen ; )

slashdot

Ach, deze bullshit heeft ze redelijk wat bezoekers opgeleverd, die anders niet de moeite hadden genomen om de CVE Details website te bezoeken, dus als je het zo bekijkt, is hun actie erg geslaagd.

Voor nu: vergeet deze onzin, en ga verder met leven.

Met de laatste 3 versies van OS X of zelfs Windows, en met beperkt gebruik van Flash en Java, zit je goed en veilig op internet.

Wat ik verder opmaak uit de interpretatie van Slashdot is dat het gaat om bugs die gefixt werden, en dat niet ieder bedrijf ook aangifte daarvan doet. Apple maakt zelfs aangifte van bugs die ze zelf hebben gevonden (en daarna gefixt) windows phone doet blijkbaar geen aangifte van geen enkele gefixt bug. (of ze hebben er geen gefixt)

Op basis van die cijfers kan je dus helemaal niets zeggen.

anraadts om 16:18, 06-01-2016
@ orange: jij lijkt de enige te zijn die daar de juiste cijfers vindt, misschien kan je ze hier met ons delen?

Ja, onder andere hier kun je zoeken op specifieke software, fabrikanten of OS'en.

https://web.nvd.nist.gov/view/vuln/search

Als ik in de lijst met CVE-kwetsbaarheden kijk, dan zie ik dat windows-kwetsbaarheden die op meerdere windows-versies van toepassing zijn (en dat zijn er op het eerste gezicht veel), bij elk van die windows-versies afzonderlijk in de lijst genoemd staan.
Dus bijvoorbeeld CVE-2015-6131 staat oa bij Windows 7, 8, en 8.1 in de lijst.
De splitsing per windows-versie lijkt op het eerste gezicht dus correct, want het optellen van alle Windows-kwetsbaarheden zou dus zorgen voor dubbel getelde kwetsbaarheden, dus niet correct.

De conclusie dat er gesjoemeld wordt met de cijfers lijkt me dan op z'n minst deels onjuist.

Blijft het feit vooralsnog staan of die vulnerabilities in hun software ook daadwerkelijk keihard geëxploiteerd worden. Het antwoord daarop is voorlopig nog steeds een ondubbelzinnig neen.

Dit zegt Thomas Reed (adwaremedic) erover.

https://blog.malwarebytes.org/mac/2016/01/was-mac-os-x-really-the-most-vulnerable-in-2015/