Wie lange dauert es, bis ein gemeldeter Bug am System gefixt ist?

Was passiert, wenn Sicherheitslücken in der verwendeten Technologie (z.B. verwendeter Tomcat) bekannt werden? Wie schnell reagiert Build.One darauf? Gibt es hierfür SLAs? Präzedenzfälle?