Há também a consideração da base instalada e do uso. O Bash está presente em praticamente todas as instalações do Ubuntu, está no centro de um número extremamente grande de scripts, enquanto o Java ... não é muito. Eu daria qualquer dia maior prioridade a uma exploração bash do que uma exploração Java. (E para ouvir as pessoas falarem disso, as explorações do Java aparecem de vez em quando de qualquer maneira.)
O Wiki da Equipe de Segurança vincula-se ao Rastreador CVE README , que descreve as prioridades:
negligible Something that is technically a security problem, but is
only theoretical in nature, requires a very special
situation, has almost no install base, or does no real
damage. These tend not to get backport from upstreams,
and will likely not be included in security updates unless
there is an easy fix and some other issue causes an update.
low Something that is a security problem, but is hard to
exploit due to environment, requires a user-assisted
attack, a small install base, or does very little damage.
These tend to be included in security updates only when
higher priority issues require an update, or if many
low priority issues have built up.
medium Something is a real security problem, and is exploitable
for many people. Includes network daemon denial of service
attacks, cross-site scripting, and gaining user privileges.
Updates should be made soon for this priority of issue.
high A real problem, exploitable for many people in a default
installation. Includes serious remote denial of services,
local root privilege escalations, or data loss.
critical A world-burning problem, exploitable for nearly all people
in a default installation of Ubuntu. Includes remote root
privilege escalations, or massive data loss.
Nesse caso, o Shellshock era um bug que afetava um software que faz parte da instalação padrão - bash. Portanto, é alta prioridade.
Tanto quanto eu posso dizer, a prioridade é definida por pessoas durante triagem de bugs .