75% камерцыйных прыкладанняў ўключаюць састарэлы адкрыты код з уразлівасцямі

Кампанія Synopsys прааналізавала 1253 камерцыйных кодавых баз і прыйшла да высновы, што амаль усе (99%) разгледжаныя камерцыйныя прыкладанні ўключае як мінімум адзін кампанент з адчыненым зыходным кодам, а 70% кода ў разгледжаных рэпазітарах з'яўляецца адчыненым. Для параўнання, у аналагічным даследаванні 2015 года доля адкрытага кода складала 36%.

Пры гэтым у большасці выпадкаў выкарыстаны іншы адкрыты код не абнаўляецца і ўтрымлівае патэнцыйныя праблемы з бяспекай - у 91% з разгледжаных кодавых баз маюцца адкрытыя кампаненты, якія не абнаўляліся больш за 5 гадоў або як мінімум два гады знаходзяцца ў закінутай форме і не суправаджаюцца распрацоўшчыкамі. Як следства, у 75% выяўленага ў рэпазітарах адкрытага кода прысутнічаюць невыпраўленыя вядомыя ўразлівасці, з якіх палова мае высокі ўзровень небяспекі. Пры выбарцы за 2018 год доля кода з уразлівасцямі складала 60%.

Найбольш часта сустракаецца небяспечнай уразлівасцю стала
праблема CVE-2018-16487 (выдаленае выкананне кода) у бібліятэцы лодаш для Node.js, уразлівыя версіі з якой сустрэліся больш за 500 разоў. Найбольш старой невыпраўленай уразлівасцю стала праблема ў дэмане lpd (CVE-1999-0061), выпраўленая ў 1999 годзе.

Акрамя бяспекі ў кодавых базах камерцыйных праектаў таксама назіраецца нядбалае стаўленне да захавання ўмоў вольных ліцэнзій.
У 73% кодавых баз знойдзены праблемы з легальнасцю выкарыстання адчыненага кода, напрыклад, несумяшчальнасці ліцэнзій (як правіла, GPL-код уключаецца ў склад камерцыйных прадуктаў без адкрыцця вытворнага прадукта) або выкарыстанне кода без указання ліцэнзіі. 93% усіх праблем з ліцэнзіямі выяўляюцца ў сеткавых і мабільных дадатках. У гульнях, сістэмах віртуальнай рэальнасці, мультымедыйных і забаўляльных праграмах парушэнні заўважаны ў 59% выпадкаў.

Усяго ў ходзе даследавання выдзелена 124 тыпавых адкрытых кампанента, якія звычайна выкарыстоўваюцца ва ўсіх кодавых базах. Найбольш папулярныя з іх: jQuery (55%), Bootstrap (40%), Font Awesome (31%), Lodash (30%) і jQuery UI (29%). У разрэзе моў праграмавання найболей папулярнымі з'яўляюцца JavaScript (выкарыстоўваецца ў 74% праектаў), C++ (57%), Shell (54%), C (50%), Python (46%), Java (40%), TypeScript (36%) ), C # (36%); Perl (30%) і Ruby (25%). Агульная доля моў праграмавання складае:
JavaScript (51%), C++ (10%), Java (7%), Python (7%), Ruby (5%), Go (4%), C (4%), PHP (4%), TypeScript ( 4%), C # (3%), Perl (2%) і Shell (1%).

Крыніца: opennet.ru