L'OpenSSF (Open Source Security Foundation), formada per la Linux Foundation i destinada a millorar la seguretat del programari de codi obert, ha publicat una nova edició de l'estudi Census II, destinada a identificar projectes de codi obert que necessiten auditories de seguretat prioritàries. L'estudi se centra en l'anàlisi del codi font obert compartit que s'utilitza implícitament en diversos projectes empresarials en forma de dependències descarregades des de repositoris externs.
Com a resultat, s'han elaborat llistes dels 500 paquets més utilitzats, la seguretat i la qualitat del manteniment dels quals requereix una atenció especial, ja que les vulnerabilitats i el compromís dels desenvolupadors de components de tercers implicats en el funcionament de les aplicacions (cadena de subministrament) poden negar tots els esforços per millorar la protecció del producte principal. Hi ha 8 opcions de llista en total, els continguts de les quals es classifiquen en funció de diversos criteris, com ara el lliurament al repositori NPM i la presència d'informació de versió a l'hora de determinar les dependències.
Els 10 paquets JavaScript més utilitzats del repositori NPM, descarregats per les aplicacions sense estar lligats a la versió:
- lodash
- reaccionar
- axis
- depurar
- @babel/core
- exprés
- sembrar
- uuid
- reaccionar-dom
- jquery
Els 10 paquets Python més utilitzats distribuïts a través del repositori pypi són:
- 06:00
- piyaml
- peticions
- urllib3
- jinja2
- python-dateutil
- clic
- idna
- chardet
- segur de marques
Els 10 paquets de dependència de Ruby més utilitzats distribuïts a través del dipòsit de RubyGems són:
- castell inflable-java
- awssdk
- rally-jasmine-core
- aws-sdk
- nunit
- cscsl
- highcharts-js-rails
- antlr3
- rspec
- asmina
Les 10 dependències de paquets Java més utilitzades distribuïdes a través del repositori Maven són:
- org.slf4j:slf4j-api
- com.fasterxml.jackson.core:jackson-databind
- com.google.guava:guava
- com.fasterxml.jackson.core:jackson-core
- org.springframework:spring-framework-bom
- com.fasterxml.jackson.core:jackson-annotations
- commons-io:commons-io
- junit:junit
- org.apache.commons:commons-lang3
- commons-codec:commons-codec
Els 10 paquets de dependència .NET més utilitzats distribuïts a través del repositori nuget són:
- json.net
- modernitzar
- newtonsoft.json
- castell.core-log4net
- newtonsoft.json
- castell.core-log4net
- dependències del sistema de freqüències
- microsoft.extensions.caching.memory
- microsoft.extensions.dependencyinjection.abstraccions
Els 10 paquets de dependència més utilitzats distribuïts per a l'idioma Go són:
- grpc/grpc-go
- kubernetes/client-go
- kubernetes/apimachinery
- kubernetes/api
- estirar / testificar
- kubernetes/klog
- paquet/errors
- spf13/cobra
- x/net
- prometheus/client_golang
Font: opennet.ru