Adobe se ha establecido una disputa con un investigador de seguridad en cuanto al número de aprovechamiento de las vulnerabilidades en la versión más reciente de Flash Player.

Tras el lanzamiento de Flash Player 10.3.183.5 la semana pasada, Google ingeniero de seguridad Tavis Ormandy disputado recuento de Adobe vulnerabilidad.

Ormady afirmó que solo presentó 400 vulnerabilidades separadas de Adobe que se fijaron en la última versión sin ser mencionado.

La única empresa que escribió “Adobe desea agradecer a Tavis Ormandy y el equipo de Google Chrome por su gran trabajo en la serie de mejoras en esta versión de Flash Player”.

Brad Arkin, director senior de Adobe de productos de seguridad y privacidad, explica la confusión en un blog.

Señala que cada empresa puede tener sus propias políticas internas sobre la asignación de CVE, y algunos podrían asignarles únicamente para las vulnerabilidades externas informó, otros pueden combinar las vulnerabilidades relacionadas con el CVE mismo, y así sucesivamente.

Señala que en lo que se refiere a Adobe, la compañía no asigna CVE para vulnerabilidades descubiertas como parte de su ciclo de vida de producto seguro (SPLC), ya que estos no se conocen públicamente.

“No se asigna ninguna eventos cerebrovasculares ya que considera esta prueba como parte del SPLC que se extiende a los esfuerzos conjuntos de ingeniería con el equipo de Google Chrome. Esto dio lugar a cierta confusión ya que el equipo de seguridad de Google tiene un enfoque diferente a la asignación de CVE, “Arkin escribe en lo que respecta a la disputa de asesoramiento Flash Player.

También señala que después de la clasificación y análisis de los 400 accidentes presentados por Ormandy requiere sólo 80 cambios de código, muchos de los cuales están estrechamente relacionados.

“En este momento, preferimos invertir nuestro tiempo en la continuación de la dureza del trabajo que hará que Flash Player más robusto frente a los ataques que revisar los registros de cambio. Hemos actualizado el boletín de seguridad para incluir CVE-2011-2424 para describir a este lote de errores “, dice.

Este incidente explica por qué nunca es una buena idea para comparar la seguridad de los productos similares contando vulnerabilidades públicamente. Algunos vendedores no podría revelar vulnerabilidades encontradas internamente, mientras que otros, particularmente los proyectos de código abierto, puede informar a todos ellos.