Оценка на проблеми с поддръжката на отворени проекти и използването на стари зависимости

Компания Sonatype, която се специализира в защитата от атаки, манипулиращи подмяна на софтуерни компоненти и зависимости (сериен верижен), публикува резултати от изследване (PDF, 62 стр.) относно проблемите със зависимостите и поддръжката на отворени проекти на езици Java, JavaScript, Python и .NET, представени в репозиториите Maven Central, NPM, PyPl и Nuget. През годината се отбелязва увеличение на броя на проектите в проследяваните открити екосистеми със средно 29%. Броят на изтеглянията на пакети от разглежданите репозитории през 2023 година нарасна с 33%, но за сравнение, през 2021 година броят на изтеглянията се е увеличил с 73%.

Вредоносната активност в репозиториите е нараснала значително — от началото на годината са открити 245 хиляди вредоносни пакета и броят на регистрираните атаки, насочени към подмяна на зависимости, е нараснал двойно.

Много проекти продължават да използват уязвими версии, например, 23% от изтеглянията на Java пакета Log4j все още са версии с критични уязвимости, отстранени през 2021 година. В репозиторията Maven Central около 12% от всички изтегляния идват от компоненти, съдържащи известни уязвимости. В средно за всички репозитории делът на изтеглянията на стари версии на пакети, отнасящи се към категории високи рискове (например с неуправени уязвимости), е 20% (в 80% от случаите се изтегля актуална версия). В 96% от случаите изтеглянията на компоненти с уязвимости можеха да бъдат избегнати, като се изберат версии, в които проблемът вече е разрешен.

Съществен проблем в поддържането на сигурността също така е качествената поддръжка на проектите. В екосистемите за езици Java и JavaScript има големи проблеми — през последната година е прекратена поддръжката на всеки пети проект (18.6%), представен в Maven Central и NPM, и поддържан през предходната година. От 1.176 милиона анализирани проекта, присъстващи в репозиторите Maven, NPM, PyPl и Nuget, само 11% (118 хиляди) продължават да се поддържат активно.

В хода на изследването е проведено проучване с 621 професионален разработчик от различни компании. 67% от анкетираните смятат, че техните приложения не използват уязвими библиотеки, 10% са срещали инциденти със сигурността през последните 12 месеца, причинени от уязвимости в открития софтуер, а 20% не могат да отговорят. 28% от компаниите определят наличието на уязвими компоненти в рамките на 1 ден след разкриването на информация за уязвимостта, 39% – от 1 до 7 дни, а 29% – повече от седмица.

Източник: opennet.ru