79% от вградените в кода външни библиотеки никога не се обновяват

Компанията Veracode публикува резултатите от проучване на проблемите с безопасността, причинени от вграждането на открити библиотеки в приложения (вместо динамично свързване, много компании просто копират нужните библиотеки в своите проекти). В резултат на сканирането на 86 хиляди репозитория и анкетата на около две хиляди разработчици е установено, че 79% от внедрените в кода на проектите външни библиотеки никога не биват обновявани.

В същото време остарелият код на библиотеките става причина за проблеми със сигурността, които в 92% от случаите могат да бъдат избегнати чрез просто обновление на кода на библиотеката. Извиненията, че обновлението на библиотеките не се извършва поради възможно нарушаване на съвместимостта, в повечето случаи са неоснователни, тъй като в 69% от случаите уязвимостите са били отстранени в коригиращи версии, които не са свързани с промяна на функционалността.

Влиянието полага и информираността на разработчиците за появата на уязвимости — в случай, че разработчиците са били уведомени за проблема в библиотеката, в 17% от случаите проблемът е бил решаван в рамките на час, а в 25% — в срок от една седмица. Когато е налична информация за това как уязвимостта в библиотеката може да доведе до компрометиране на приложението, в 50% от случаите корекцията е била направена в срок от три седмици, а без предоставяне на информация — отстраняването на уязвимостта е отнемало 7 или повече месеца. Четвърт от анketираните разработчици заявиха, че при избора на библиотека за вграждане основното внимание е насочено към функционалността и лиценза на кода, а след това се взима предвид безопасността.

Забележително е, че и ситуацията с проверката на лицензите на кода не е по-добра — 54% от анketираните признават, че не винаги проверяват лиценза на кода на библиотеката преди интеграцията й в своя продукт. Задължителната проверка на лицензионна съвместимост практикуват само 27% от анketираните.

Източник: opennet.ru