Společnost Veracode zveřejnila výsledky výzkumu bezpečnostních problémů způsobených integrací open-source knihoven do aplikací (namísto dynamického linkování mnohé firmy jednoduše kopírují potřebné knihovny do svých projektů). V důsledku skenování 86 tisíc repozitářů a dotazování přibližně dvou tisíc vývojářů bylo zjištěno, že 79 % integrovaných knihoven třetích stran v kódu projektů se nikdy neaktualizuje.
Zastaralý kód knihoven přitom způsobuje bezpečnostní problémy, kterých je v 92 % případů možné se vyhnout prostou aktualizací kódu knihovny. Výmluvy, že k aktualizaci knihoven nedochází kvůli možnému narušení kompatibility, jsou v drtivé většině případů bezpředmětné, neboť ve 69 % případů byly zranitelnosti odstraněny v opravách, které nebyly spojeny se změnami ve funkčnosti.
Na vývojáře také má vliv informování o zranitelnostech — pokud byli vývojáři upozorněni na problém v knihovně, v 17 % případů byla problém vyřešena během hodiny, a ve 25 % případů během jednoho týdne. Při povědomí o tom, jak může zranitelnost v knihovně vést k ohrožení aplikace, bylo v 50 % případů opraveno během tří týdnů, zatímco bez poskytnutí informací bylo nutné čekat 7 a více měsíců na odstranění zranitelnosti. Čtvrtina dotázaných vývojářů uvedla, že při výběru knihovny pro integraci se primárně zaměřují na funkčnost a licenci kódu, a až poté zohledňují bezpečnost.
Pozoruhodné je, že situace s kontrolou licencí kódu není lepší — 54 % dotázaných přiznalo, že ne vždy kontrolují licenci kódu knihovny před její integrací do svého produktu. Povinnou kontrolu licenční kompatibility provádí pouze 27 % dotázaných.
Zdroj: opennet.ru
