Оценка на проблемите с поддръжката на отворени проекти и използването на стари зависимости

Компанията Sonatype, специализирана в защитата от атаки, манипулиращи подмените на софтуерни компоненти и зависимости (supply chain), публикува резултати от изследване (PDF, 62 стр.) относно проблемите с зависимостите и поддръжката на откритите проекти на езици Java, JavaScript, Python и .NET, представени в репозиториите Maven Central, NPM, PyPl и Nuget. За година е отбелязано увеличение на броя на проектите в следените открити екосистеми средно с 29%. Броят на изтеглянията на пакети от разглежданите репозитории през 2023 година нарасна с 33%, но за сравнение през 2021 година броят на изтеглянията се увеличи с 73%.

Существенно выросла вредоносная активность в репозиториях — с начала года выявлено 245 тысяч вредоносных пакетов и в два раза увеличилось число зафиксированных атак, нацеленных на подмену зависимостей.

Много проекти продължават да използват уязвими версии, например 23% от изтеглянията на Java пакета Log4j все още са версии с критични уязвимости, решени през 2021 година. В репозитория Maven Central около 12% от всички изтегляния са на компоненти, съдържащи известни уязвимости. Средно за всички репозитории дялът на изтеглянията на стари версии на пакети, отнасящи се към рисковите категории (например с неизправени уязвимости), е 20% (в 80% от случаите се изтегля актуална версия). В 96% от случаите изтеглянето на компоненти с уязвимости е можело да бъде избегнато, като се изберат версии, в които проблемът вече е решен.

Значительную проблему в поддержании безопасности также составляет качественно сопровождение проектов. В экосистемах для языков Java и JavaScript с этим большие проблемы — за последний год было прекращено сопровождение каждого пятого проекта (18.6%), представленного в Maven Central и NPM, и сопровождаемого в предыдущем году. Из 1.176 миллиона проанализированных проектов, присутствующих в репозиториях Maven, NPM, PyPl и Nuget, только 11% (118 тысяч) продолжают активно сопровождаться.

В ходе исследования также был проведён опрос 621 профессионального разработчика из различных компаний. 67% опрошенных полагают, что их приложения не используют уязвимые библиотеки, 10% за последние 12 месяцев сталкивались с инцидентами с безопасностью, вызванными уязвимостями в открытом ПО, а 20% затрудняются ответить. 28% компаний определяют наличие уязвимых компонентов в течение 1 дня после раскрытия данных об уязвимости, 39% — от 1 до 7 дней, а 29% — более недели.

Източник: opennet.ru