75% от търговските приложения включват остарял отворен код с уязвимости

Компания Synopsys анализирала 1253 комерчески кодови бази и стигна до извода, че почти всички (99%) разглеждани търговски приложения включват поне един компонент с отворен код, а 70% от кода в разглежданите хранилища е отворен. За сравнение, в аналогично проучване от 2015 година, делът на отворения код е бил 36%.

В същото време в повечето случаи използваният външен отворен код не се актуализира и съдържа потенциални проблеми със сигурността — в 91% от разглежданите кодови бази има отворени компоненти, които не са актуализирани повече от 5 години или поне два години са в забравено състояние и не се поддържат от разработчиците. Вследствие на това, в 75% от открития в хранилищата отворен код присъстват неизправени известни уязвимости, половината от които имат висок риск. При изборка за 2018 година делът на кода с уязвимости е бил 60%.

Най-често срещаната опасна уязвимост стана
проблем CVE-2018-16487 (удалено изпълнение на код) в библиотеката lodash за Node.js, уязвимите версии с която са засечени повече от 500 пъти. Най-старата неизправена уязвимост стана проблем в демона lpd (CVE-1999-0061), поправена през 1999 година.

Освен сигурността в кодовите бази на комерчески проекти също така се наблюдава небрежно отношение към спазването на условията на свободни лицензии.
В 73% от кодовите бази са открити проблеми с легалността на използването на отворен код, например, несъвместимости на лицензите (обикновено GPL-кодът е включен в търговски продукти без разкриване на производния продукт) или използване на код без указание на лиценз. 93% от всички проблеми с лицензите се проявяват в мрежови и мобилни приложения. В игрите, системите за виртуална реалност, мултимедийни и развлекателни програми нарушенията са забелязани в 59% от случаите.

Общо в хода на проучването са определени 124 типови отворени компонента, които обикновено се използват във всички кодови бази. Най-популярните от тях са: jQuery (55%), Bootstrap (40%), Font Awesome (31%), Lodash (30%) и jQuery UI (29%). В контекста на езиците за програмиране най-популярни са JavaScript (използва се в 74% от проектите), C++ (57%), Shell (54%), C (50%), Python (46%), Java (40%), TypeScript (36%), C# (36%); Perl (30%) и Ruby (25%). Общият дял на езиците за програмиране е:
JavaScript (51%), C++ (10%), Java (7%), Python (7%), Ruby (5%), Go (4%), C (4%), PHP (4%), TypeScript (4%), C# (3%), Perl (2%) и Shell (1%).

Източник: opennet.ru