I den åttende utgaven av Symantec Internet Security Threat Report, sammenligner Symantec antallet sårbarheter i noen av de vanligste nettleserne. Dette inkluderer Internet Explorer, Mozilla Foundations nettlesere (inkludert Firefox), Opera, Safari og Konqueror.
I rapporten kommer Mozillas nettlesere, inkludert Firefox, tilsynelatende dårlig ut. Hele 25 sårbarheter er blitt bekreftet i stiftelsens nettlesere i første halvdel av 2005, hvorav 18 ble gitt høy alvorlighetsgrad. Dette er likevel færre enn det totale antallet sårbarheter som ble bekreftet i andre halvdel av 2004, men økningen siden første halvdel av 2004 er brutal. Den gang ble det bare bekreftet to sårbarheter i Mozilla-nettleserne.
Til sammenligning ble det i de første seks månedene av 2005, funnet 13 bekreftede sårbarheter i Microsofts Internet Explorer. Dette er langt færre enn de 31 som ble funnet i siste halvdel av 2004. Symantec understreker dog at på det tidspunktet da den forrige rapporten ble utgitt, hadde Microsoft bare bekreftet 13 av disse sårbarhetene. De resterende er blitt bekreftet i ettertid.
I første halvdel av 2004, bekreftet Microsoft sju sårbarheter i Internet Explorer.
Åtte av de 13 sårbarhetene som ble bekreftet i Internet Explorer i første halvdel av 2005, hadde høy alvorlighetsgrad.
Når det gjelder Opera, er det blitt bekreftet sju nye sårbarheter i første halvdel av 2005. Tallet for de to foregående halvårene var henholdsvis elleve og fem. I snitt har sårbarhetene i Opera vært mindre alvorlige enn de i IE og Mozillas nettlesere. Tre av sårbarhetene fra siste halvår hadde høy alvorlighetsgrad, noe som likevel er en langt høyere andel enn tidligere. Ingen av sårbarhetene i første halvdel av 2004 hadde så høy alvorlighetsgrad, mens andelen var på 27 prosent i andre halvdel av 2004.
Apples nettleser, Safari har i hvert av de to siste halvårene hatt to sårbarheter som er blitt bekreftet av produsenten. I første halvdel av 2004 var antallet tre. Kun én av disse sårbarhetene hadde høy alvorlighetsgrad. Denne sårbarheten stammer fra i år.
Symantec har denne gangen også tatt med nettleseren Konqueror, som er en del av KDE-pakken som ikke minst mange Linux-brukere benytter. I denne nettleseren ble det i første halvdel av 2005 funnet to bekreftede sårbarheter, hvorav den ene hadde høy alvorlighetsgrad. I siste halvdel av 2004 ble det bekreftet seks sårbarheter i Konqueror, én med høy alvorlighetsgrad. Halvåret før ble det bare funnet én sårbarhet i denne nettlesten, men uten høy alvorlighetsgrad.
Mange av disse tallene, ikke minst de om Mozilla og Firefox, kommer kanskje som en negativ overraskelse på mange. Symantec understreker at det må tas flere forbehold når tallene sammenlignes. Ikke minst fordi det kun er de sårbarhetene som er blitt bekreftet av leverandørene - og dermed gjerne rettet - som er blitt telt.
Tall fra Secunia viser at det for øyeblikket er 19 rapporterte sårbarheter i Internet Explorer som ikke er blitt forsøkt rettet av Microsoft. Mange av disse rapportene er mer enn ett år gamle, men få regnes som mer enn moderat kritiske.
Tilsvarende for Firefox er det tre sårbarheter som ennå ikke er blitt tettet. Alle de tre regnes som lite kritiske, men to av rapportene er omtrent ett år gamle. Tallet er det samme også for Mozilla 1.7.x.
Det er ingen rapporterte sårbarheter i Opera som ikke er blitt rettet.
Det finnes én utettet, men lite kritisk sårbarhet i både Safari 1.x og 2.x. Det samme gjelder Konqueror 3.x.
Årsaken til at Symantec har valgt bare å ta hensyn til sårbarheter som er blitt bekreftet av nettleserleverandørene, skal være at det er vanskelig å få identifisert andre sårbarheter som unike og verifiserbare. Et rapportert angrep kan skyldes flere forhold, hvor hver kan anses som en selvstendig sårbarhet.
Symantec understreker også at ikke alle sårbarheter som oppdages, blir utnyttet. Til nå har det ikke vært noen utbredt utnyttelse av noen nettleser bortsett fra Internet Explorer. Men selskapet mener dette kan forventes å endre seg etter hver som de andre nettleserne blir mer populære.
I rapporten heter det også at det faktum at Mozilla-nettleserne har flest sårbarheter som er blitt bekreftet av leverandøren de to siste halvårene, kan skyldes av Mozilla Foundation for tiden bekrefter og fikser sårbarheter raskere enn andre leverandører. Symantec mener dette igjen kan skyldes at Mozilla-nettleserne er basert på åpen kildekode og at dette gjør stiftelsen raskere kan reagere ovenfor nye sårbarheter enn blant annet Microsoft, som gir ut sikkerhetsfikser etter et mer fastlagt tidsskjema.
Hele rapporten fra Symantec kan lastes ned fra denne siden (krever registrering).
