Fond OpenSSF (Open Source Security Foundation), vytvořený organizací Linux Foundation, zaměřený na zlepšení bezpečnosti otevřeného softwaru, zveřejnil novou verzi výzkumu Census II, který se zaměřuje na identifikaci otevřených projektů vyžadujících prioritní audit bezpečnosti. Výzkum se soustředí na analýzu společného otevřeného kódu, který je implicitně používán v různých firemních projektech formou závislostí, stahovaných z externích repozitářů.
Výsledkem jsou seznamy 500 nejčastěji používaných balíčků, jejichž bezpečnost a kvalita údržby si zaslouží zvláštní pozornost, protože zranitelnosti a kompromitace vývojářů třetích komponentů, zapojených do práce aplikací (supply chain), mohou zmařit veškeré snahy o zlepšení ochrany hlavního produktu. Celkem bylo navrženo 8 variant seznamů, jejichž obsah je tříděn na základě různých kritérií, jako je dodávka v repozitáři NPM a dostupnost informací o verzi při určení závislostí.
10 nejčastěji používaných JavaScript balíčků z repozitáře NPM, stahovaných aplikacemi bez vázání na verzi:
- lodash
- react
- axios
- debug
- @babel/core
- express
- semver
- uuid
- react-dom
- jquery
10 nejčastěji používaných Python balíčků v závislostech, distribuovaných prostřednictvím repozitáře pypi:
- šest
- pyyaml
- requests
- urllib3
- jinja2
- python-dateutil
- klikněte
- idna
- chardet
- markupsafe
10 nejčastěji používaných Ruby balíčků v závislostech, distribuovaných prostřednictvím repozitáře RubyGems:
- bouncy-castle-java
- awssdk
- rally-jasmine-core
- aws-sdk
- nunit
- cscsl
- highcharts-js-rails
- antlr3
- rspec
- asmine
10 nejčastěji používaných Java balíčků v závislostech, distribuovaných prostřednictvím repozitáře Maven:
- org.slf4j:slf4j-api
- com.fasterxml.jackson.core:jackson-databind
- com.google.guava:guava
- com.fasterxml.jackson.core:jackson-core
- org.springframework:spring-framework-bom
- com.fasterxml.jackson.core:jackson-annotations
- commons-io:commons-io
- junit:junit
- org.apache.commons:commons-lang3
- commons-codec:commons-codec
10 nejčastěji používaných balíčků .NET v závislostech, distribuovaných prostřednictvím repozitáře nuget:
- json.net
- modernizr
- newtonsoft.json
- castle.core-log4net
- newtonsoft.json
- castle.core-log4net
- freqsystemdependencies
- microsoft.extensions.caching.memory
- microsoft.extensions.dependencyinjection.abstractions
10 nejčastěji používaných balíčků v závislostech pro jazyk Go:
- grpc/grpc-go
- kubernetes/client-go
- kubernetes/apimachinery
- kubernetes/api
- stretchr/testify
- kubernetes/klog
- pkg/errors
- spf13/cobra
- x/net
- prometheus/client_golang
Zdroj: opennet.ru
