Studie: Firefox und Adobe führen Ranking der unsichersten Software an

Der Mozilla-Browser Firefox und Software von Adobe führen das von dem Sicherheitsanbieter Qualys aufgestellte Ranking der unsichersten Software des Jahres 2009 an. Die Liste basiert auf Einträgen in der National Vulnerability Database der US-Normungsbehörde NIST.

Qualys hat im laufenden Jahr 102 Firefox-Lücken gezählt. Das bedeute aber nicht automatisch, dass der Browser auch die meisten Fehler habe, so Qualys-CTO Wolfgang Kandek. Da Firefox Open-Source-Software sei, würden alle Schwachstellen auch veröffentlicht. Hersteller proprietärer Anwendungen wie Adobe oder Microsoft machten üblicherweise nur von Dritten gefundene Löcher öffentlich bekannt, und keine, die sie selbst entdeckt hätten.

Den zweiten Platz in diesem Jahr hat Adobe von Microsoft übernommen. Der Anbieter von Programmen wie Adobe Reader und Flash-Player hat mehr als dreimal so viele Schwachstellen veröffentlicht als 2008. Insgesamt waren es 45. Microsoft reduzierte die Zahl der Sicherheitsanfälligkeiten laut Qualys von 44 auf 41. 30 davon betrafen den Internet Explorer, den Windows Media Player und Office.

Nach Ansicht von Qualys zeigen die Zahlen, dass sich Angreifer weniger auf Betriebssysteme konzentrieren und ihre Aufmerksamkeit vermehrt auf Anwendungen richten. „Betriebssysteme sind stabiler und schwerer angreifbar geworden“, erklärt Kandek. „Andere, weit verbreitete Angriffsziele wie Internet Explorer und Firefox sind alles andere als sicher.“

Anfang des Jahres war F-Secure in einer Untersuchung zu einem ähnlichen Ergebnis gekommen. Der Sicherheitsanbieter hatte in den ersten drei Monaten 2009 663 zielgerichtete Angriffe ermittelt, 50 Prozent davon für das Dateiformat PDF. 2008 lag der Anteil noch bei 28 Prozent. F-Secure riet daraufhin sogar zum Einsatz alternativer PDF-Reader.

Um die Sicherheit seiner Produkte zu verbessern, hat Adobe im Sommer im Rahmen seiner Initiative „Trustworthy Computing“ regelmäßige Patchdays nach dem Vorbild von Microsoft eingeführt. Allerdings schließt Adobe Schwachstellen nur vierteljährlich. Der nächste Termin ist für 12. Januar 2010 angesetzt.