「ハッキングコンテストで見つかった脆弱性を修正した Firefox 3.6.3」記事へのコメント

後半部分は余計

[Anonymous Coward]

タレコミ分の後半部分、IEとMacに関するところは余計ですね。

「Firefoxは対応が早くていいんだぞ」と言いたいのでしょうけど、
脆弱性が多くて、次から次へと修正してはバージョンを上げてリリースする
Firefoxと、脆弱性の数が少なくて、基本的には月に一回しか修正をリリース
しないMSと、たくさんある脆弱性を不定期にまとめて大量にリリースする
Appleを比較してもしょうがない。

3/31にリリースされた修正は、未修正の脆弱性のうち、すでに攻撃が開始
されたことが確認されたから緊急対応されたまで。
攻撃が未確認の脆弱性は基本的に月例アップデートで対応しますよ。

セキュリティに強いと宣伝していたFirefoxも、あっさり攻略されちゃって、
修正までの早さをアピールするしかなくなったって苦しい気持ちはわかるけど。

Re:

[JULY (38066)]

五十歩百歩じゃない？

MS10-??? で Internet Explorer のセキュリティ事項となっているのは

• MS10-002 [microsoft.com]
• MS10-018 [microsoft.com]

の２件。

要点の冒頭に書いてある「何件の脆弱性」というのを数えると、MS10-0002 が 7+1 件、MS10-018 が 9+1 件、合計 18 件

Firefox の今年の脆弱性は、

• Firefox 3.6 セキュリティアドバイザリ [mozilla-japan.org]

で見ると 25 件。

まぁ、重要度の問題とか

Re:後半部分は余計

[Anonymous Coward]

> 要点の冒頭に書いてある「何件の脆弱性」というのを数えると、MS10-0002 が 7+1 件、MS10-018 が 9+1 件、合計 18 件

それって、全部ひっくるめてですよね。
IEの5.01～IE8で、WindowsXP ～ Windows7 (Server含む）で。

Windows7のIE8という条件の話だったと思うので、それでいえば一番軽い「注意」も
含めても１０件しかありませんけれど？

それとも、公平にFirefoxも古いバージョンの脆弱性も含めて数えてみたら？

古いバージョンも全部合わせての数と、最新版のものだけの数を比較して、それでも
多いってどうですか？

Re:後半部分は余計

[JULY (38066)]

それって、全部ひっくるめてですよね。 IEの5.01～IE8で、WindowsXP ～ Windows7 (Server含む）で。 Windows7 のIE8という条件の話だったと思うので、それでいえば一番軽い「注意」も 含めても１０件しかありませんけれど？ それとも、公平にFirefoxも古いバージョンの脆弱性も含めて数えてみたら？ 古いバージョンも全部合わせての数と、最新版のものだけの数を比較して、それでも 多いってどうですか？

うん、仰っている通りで、私の書いた数字は文中にも書いてある通り「大雑把」な数字で、厳密な数字じゃないですよ。

IE より Firefox の方が脆弱性が多い、という話の根拠となる数字が欲しかったんだけど、とりあえず、短時間でぱっと調べられる範囲の数字を出してみたら、あんな数字だった、というだけ。

とりあえず、Firefox に関しては、3.0、3.5 のページを見ても、3.6 に出てくる MFSA 2010-25 が最大の番号なので、全部ひっくるめて 25 件です。3.6 のページにあるのを数え上げると 21 件ですね。

最新バージョンで見れば、IE の方が確かに少ないですね。私も個人的な感覚としては IE8 on Windows 7 は優秀な印象はあります。

ただ、厳密な話をしだすと、開発元が塞いだセキュリティの数よりも、CVE に登録された数で比較すべきかもしれないし、それに重要度や Fix されるまでの期間も考慮、なんて事になると、私個人として、そこまで調べる気が無いので、誰か調べてくれる（もしくは、そんなレポートがすでにある？）とうれしいなぁ、とは思います。