Компания Red Hat опубликовала (https://access.redhat.com/blogs/766093/posts/2957221) отчёт (https://www.redhat.com/cms/managed-files/su-2016-security-ri...) с анализом рисков,  связанных оперативностью устранения уязвимостей, выявленных в продуктах Red Hat в течение 2016 года. За год в Red Hat Enterprise Linux было выявлено 50 критических уязвимостей. Примечательно, что обновления с устранением всех критических проблем были выпущены не позднее, чем на следующий день, после появления публичной информации об уязвимости.

При рассмотрении всех продуктов Red Hat, а не только RHEL, в тот же или на следующий день после появления информации об уязвимости было устранено 76% критических уязвимостей, а в течение недели - 98%. Всего службой безопасности Red Hat в 2016 году было изучено около 2600 уязвимостей, потенциально затрагивающих Linux-системы, что на 30% больше, чем в 2015 году. Продукты Red Hat оказались подвержены 1346 уязвимостям, наиболее опасные из которых, как правило, затрагивали web-браузеры или компоненты браузеров, т.е. в серверных системах число опасных проблем было незначительным.
О 394 (29%) уязвимостях службе безопасности Red Hat стало известно до появляения публичной информации об уязвимости.

Информация о 65.5% уязвимостей была получена из списков рассылки и через мониторинг объявлений об уязвимостях в upstream-проектах. Сведения о 12.8% уязвимостей были получены через уведомления, отправленные представителями upstream-проектов. 10.6% уязвимостей были выявлены сотрудниками Red Hat. Информация о 5.6% проблемах сообщена в приватной переписке с исследователями безопасности или клиентами, столкнувшимися с проблемой. О 3.6% уязвимостях стало известно от представителей других дистрибутивов, через закрытый форум (http://oss-security.openwall.org/wiki/mailing-lists/distros). 1.9% уязвимостей всплыло при изучении новых идентификаторов CVE.

URL: https://access.redhat.com/blogs/766093/posts/2957221
Новость: http://www.opennet.me/opennews/art.shtml?num=46200

• Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,opan, 11:19 , 16-Мрт-17
• Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,Аноним, 11:20 , 16-Мрт-17
  • Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,Sluggard, 11:25 , 16-Мрт-17
    • Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,Аноним, 12:32 , 16-Мрт-17
    • Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,Sw00p aka Jerom, 15:33 , 16-Мрт-17
      • Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,Гостище, 16:09 , 16-Мрт-17
      • Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,Sluggard, 18:06 , 16-Мрт-17
      • Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,Аноним, 19:04 , 16-Мрт-17
        • Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,Sw00p aka Jerom, 12:55 , 18-Мрт-17
• Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,Гослинуксятор, 11:25 , 16-Мрт-17
  • Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,allnix, 11:44 , 16-Мрт-17
  • Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,ann, 11:45 , 16-Мрт-17
    • Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,tensor, 12:45 , 16-Мрт-17
    • Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,Аноним, 19:07 , 16-Мрт-17
• Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,adolfus, 12:03 , 16-Мрт-17
• Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,via, 12:03 , 16-Мрт-17
  • Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,Аноним, 19:03 , 16-Мрт-17
• Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,Аноним, 12:31 , 16-Мрт-17
  • Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,amonymous, 12:33 , 16-Мрт-17
• Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,Аноним, 16:45 , 16-Мрт-17
  • Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,Led, 21:17 , 16-Мрт-17
  • Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,freehck, 00:14 , 17-Мрт-17
• Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,анонимус вульгарис, 18:49 , 16-Мрт-17
  • Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,Stax, 19:25 , 16-Мрт-17
    • Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,анонимус вульгарис, 15:19 , 17-Мрт-17
• Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,Аноним, 18:49 , 16-Мрт-17
  • Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,Stax, 19:26 , 16-Мрт-17
    • Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,Аноним, 19:45 , 16-Мрт-17
• Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,Аноним, 02:38 , 17-Мрт-17
• Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,лютый жабист__, 05:03 , 17-Мрт-17
  • Оценка рисков из-за уязвимостей в Red Hat Enterprise Linux,Led, 23:19 , 17-Мрт-17

Работают люди.

Интересно было бы увидеть аналогичную статистику по отечественным дистрибутивам: росе, альту, астре.

Интересно было бы увидеть нечто подобное от Microsoft. С пруфами. =))

В среднем от двух недель до двух месяцев. Уже было два крупных скандала на эту тему (Google’s Project Zero).

Мелкомягкие скоро редхат купят ))

Чтоб сделать AzureHat и доказать всему миру, что линукс ненадёжен, так как по всему миру много-много линуксов в винде, которая сама не падает, а линукс в ней плохо пашет.

Кто-то собрался продавать им акции? )

> Мелкомягкие скоро редхат купят ))

Скорее каноникл, он должен быть сильно дешевле (по причине убыточности).

шапка перспективней

GosLinux основан на centos, который основан на red-hat, значит всё тоже очень хорошо?

Для АНБ?

Не думаю что они каждую неделю получают новый сертификат от ФСБ - дорого же.
Так что любой гослинукс рищито (оказывается ругательство), зато с сертификатом о безопасности.

Абсолютно верно. Плюс, при каждом обновлении нужно собирать софт для токенов и випнетов. Сильно сомневаюсь, что Редсофт это делает на регулярной основе.

> Так что любой гослинукс рищито (оказывается ругательство), зато с сертификатом о безопасности.

В этом суть ИБ, причём не только в этой стране, но и в мире.

> Примечательно, что обновления с устранением всех критических проблем были
> выпущены не позднее, чем на следующий день, после появления публичной
> информации об уязвимости.

Неудивительно -- IBM, который щедро потребляет продукт RH, в свое время выпускал фикспаки на полуось и компоненты на второй-третий день после обращения в поддержку. Надо полагать, что их клиенты стали более требовательны -- два-три дня их уже не устраивает.

PR.   Каноники тоже оперативно выпускают патчи

> Каноники

Их главный по безопасности админил kernel.org на момент эпического взлома. Это уже многое говорит)

Надо пользоваться только тем срезом, который проверен ФСТЭК. Там все хорошо)

Да, там уязвимостей нет. Просто потому, что всем пофиг, и их никто не документирует.

CentOS сильно отстает?

> CentOS сильно отстает?

На час-два.

Обычно в течение суток апдейт доходит.
https://wiki.centos.org/FAQ/General#head-cea9337e6513cc1567c...

Забыли написать, сколько уязвимостей в шапке отказались фиксить, потому что посчитали их некритичными.

Так поделитесь информацией. Такие случаи действительно были, с соответствующими пояснениями (напр. с nginx, когда selinux делал проблему неактуальной и вообще она была в nginx, который в EPEL, а не в базовом RHEL).

А почему Вы думаете, что у меня есть эта информация? Я тоже знаю, что прецеденты имеются, а сколько их — в этом очень подробном промо-отчёте почему-то не сказали. Кому это прям очень сильно интересно — могу дать ссылку: https://bugzilla.redhat.com/query.cgi

А где тэг "Реклама" ? явно же списали с рекламного проспекта.

> А где тэг "Реклама" ? явно же списали с рекламного проспекта.

Реклама - это когда opennet получил деньги за нее )
Заплатите, и поставят тег "реклама". А пока, я так понимаю, ни редхат, ни кто еще за это не платил.

то есть можно постить откровенно маркетинговые материалы и это не будет считаться рекламой ?

сколько дыр открытых нам готовит просвещенье

У любых других дистрибов общая картина будет намного плачевнее по причине того что в RHEL убогий набор софта, прокси один, web-сервер один, браузер и DE одно итд.

Реально ставишь CentOS, потом EPEL и оттуда ещё гору дырявого софта, которая не попала в эту "статистику".

> ещё гору дырявого софта, которая не попала в эту "статистику".

Да, жабoбыдлoкoдeры гуманитарной ориентации всегда так делают.