Beveiligingslekken die werknemers van Microsoft in de producten van andere leveranciers ontdekken worden maar langzaam gepatcht. Dat is te lezen in het jaarrapport van het Microsoft Vulnerability Research Program (MSVR). Van alle gerapporteerde kwetsbaarheden was 55% na een jaar nog altijd niet gepatcht. Een beter resultaat dan in 2008, toen het om 87% ging. Verder nam het aantal lekke leveranciers af. Vorig jaar werden er kwetsbaarheden bij 19 leveranciers ontdekt, terwijl dat een jaar eerder er 32 waren.

Microsoft noemt de trend positief en is niet verrast dat 55% van de lekken langer dan een jaar op een patcht wacht. "De meeste lekken die Microsoft ontdekt zijn low-level problemen in de architectuur die niet eenvoudig zijn te verhelpen en leveranciers hebben vaak veel tijd nodig om een effectieve oplossing te ontwikkelen en die grondig te testen."

Aanpak
Een voorbeeld van het MSVR was het ernstige lek in de Microsoft Active Template Library (ATL), die met Visual Studio wordt geleverd. Ontwikkelaars gebruiken ATL voor het maken van ActiveX controls en andere componenten. De controls die met de kwetsbare library waren ontwikkeld liepen volgens Microsoft ook risico om aangevallen te worden. Uiteindelijk hadden 37 verschillende leveranciers met het probleem te maken, die Microsoft allemaal werden ingelicht.

Ondanks alle adviezen en begeleiding hadden slechts twaalf ontwikkelaars na het gehele proces het lek gepatcht. Daarnaast had Microsoft voor zes ActiveX controls een kill-bit uitgebracht. "Ondanks de in het algemeen positieve resultaten, maakt de ATL-respons duidelijk dat de software-industrie nog steeds veel werk te verrichten heeft om een gezamenlijke, consistente aanpak te ontwikkelen voor het reageren op beveiligingslekken", aldus Microsoft.

Microsoft
Een aanpak die steeds belangrijker wordt, want 84,5% van alle gerapporteerde kwetsbaarheden in de tweede helft van 2009 bevonden zich in applicaties en add-ons. Besturingssystemen zijn voor 9,5% van alle lekken verantwoordelijk, gevolgd door browsers met 6,1%. Verder blijkt dat 5,2% van alle lekken die in dezelfde periode werden gemeld op naam van Microsoft komen.