Актуализация на рейтинга на библиотеките, изискващи специална проверка на сигурността

Фонд OpenSSF (Open Source Security Foundation), създаден от организацията Linux Foundation с цел подобряване на сигурността на отворения софтуер, публикува нова версия на изследването Census II, насочено към идентифициране на отворени проекти, нуждаещи се от приоритетен одит на сигурността. Изследването е фокусирано върху анализа на споделян отворен код, който неявно се използва в различни корпоративни проекти под формата на зависимости, изтегляни от външни репозитории.

В резултат на това са подготвени списъци с 500-те най-често използвани пакета, безопасността и качеството на поддръжката на които изискват особено внимание, тъй като уязвимостите и компрометиране на разработчиците на трети страни, ангажирани в работата на приложенията (supply chain), могат да обезсилят всички усилия за подобряване на защитата на основния продукт. Предложени са общо 8 варианта на списъка, съдържанието на който е подредено в зависимост от различни критерии, като например доставка в репозитория NPM и наличието на информация за версия при определяне на зависимостите.

10-те най-често използвани JavaScript пакета от репозитория NPM, изтегляни от приложения без привързаност към версия:

• lodash
• react
• axios
• дебъг
• @babel/core
• express
• semver
• uuid
• react-dom
• jquery

10-те най-често използвани пакета на Python в зависимостите, разпространявани чрез репозиторий pypi:

• шест
• pyyaml
• requests
• urllib3
• jinja2
• python-dateutil
• click
• idna
• chardet
• markupsafe

10-те най-често използвани Ruby пакета в зависимостите, разпространявани чрез репозиторий RubyGems:

• bouncy-castle-java
• awssdk
• rally-jasmine-core
• aws-sdk
• nunit
• cscsl
• highcharts-js-rails
• antlr3
• rspec
• asmine

10-те най-често използвани Java пакета в зависимостите, разпространявани чрез репозиторий Maven:

• org.slf4j:slf4j-api
• com.fasterxml.jackson.core:jackson-databind
• com.google.guava:guava
• com.fasterxml.jackson.core:jackson-core
• org.springframework:spring-framework-bom
• com.fasterxml.jackson.core:jackson-annotations
• commons-io:commons-io
• junit:junit
• org.apache.commons:commons-lang3
• commons-codec:commons-codec

10-те най-често използвани .NET пакета в зависимостите, разпространявани чрез репозиторий nuget:

• json.net
• facebook
• modernizr
• newtonsoft.json
• castle.core-log4net
• newtonsoft.json
• castle.core-log4net
• freqsystemdependencies
• microsoft.extensions.caching.memory
• microsoft.extensions.dependencyinjection.abstractions

10-те най-често използвани пакета в зависимостите за езика Go:

• grpc/grpc-go
• kubernetes/client-go
• kubernetes/apimachinery
• kubernetes/api
• stretchr/testify
• kubernetes/klog
• pkg/errors
• spf13/cobra
• x/net
• prometheus/client_golang

Източник: opennet.ru