79% от вградените в кода външни библиотеки никога не се обновяват

Компания Veracode публикува резултатите от проучване на проблемите със сигурността, причинени от вграждането на отворени библиотеки в приложения (вместо динамично свързване, много компании просто копират необходимите библиотеки в своите проекти). В резултат на сканиране на 86 хиляди репозитория и анкета на около две хиляди разработчици е установено, че 79% от пренесените в кода проекти на трети страни библиотеки никога не се актуализират.

При това остарелият код на библиотеките става причина за проблеми със сигурността, които в 92% от случаите могат да бъдат избегнати чрез просто актуализиране на кода на библиотеката. Аргументите, че актуализацията на библиотеките не се извършва заради възможно нарушение на съвместимостта, в повечето случаи са неоснователни, тъй като в 69% от случаите уязвимостите са били отстранени в коригиращи издания, несвързани с промяна на функционалността.

Влиянието оказва и информираността на разработчиците за появата на уязвимости — в случай че разработчиците са били уведомени за проблема с библиотеката, в 17% от случаите проблемът е бил решен в рамките на час, а в 25% — в рамките на една седмица. При наличието на информация за това как уязвимостта в библиотеката може да доведе до компрометиране на приложението, в 50% от случаите поправка е била издадена в рамките на три седмици, а без предоставяне на информация — отстраняването на уязвимостта е отнемало 7 и повече месеца. Четвърт от анкетираните разработчици заявиха, че при избора на библиотека за вграждане основното внимание се отделя на функционалността и лиценза на кода, а безопасността се взема предвид на второ място.

Забележително е, че с проверката на лицензиите за код ситуацията не е по-добра — 54% от анкетираните признаха, че не винаги проверяват лиценза на кода на библиотеката преди интегрирането й в своя продукт. Задължителна проверка на лицензионната съвместимост практикуват само 27% от анкетираните.

Източник: opennet.ru