Veracode har offentliggjort resultaterne af en undersøgelse af sikkerhedsproblemer forårsaget af indlejring af open source-biblioteker i applikationer (i stedet for dynamisk binding kopierer mange virksomheder blot de nødvendige biblioteker ind i deres projekter). Som følge af scanningen af 86.000 repositories og en undersøgelse af cirka to tusinde udviklere er det fastslået, at 79% af de integrerede kodeprojekter med tredjepartsbiblioteker aldrig bliver opdateret efterfølgende.
Den forældede kode i bibliotekerne bliver dermed årsagen til sikkerhedsproblemer, som i 92% af tilfældene kunne undgås med en simpel opdatering af bibliotekets kode. Undskyldninger om, at opdatering af biblioteker ikke finder sted på grund af mulig brud på kompatibiliteten, er i de fleste tilfælde ubegrundede, da sårbarheder i 69% af tilfældene blev rettet i vedligeholdelsesudgivelser, der ikke var relateret til ændringer i funktionaliteten.
Informeringen af udviklere om fremkomsten af sårbarheder har også indflydelse — hvis udviklerne blev informeret om et problem i biblioteket, blev problemet i 17% af tilfældene løst inden for en time, og i 25% inden for en uge. Når der er information om, hvordan en sårbarhed i biblioteket kan føre til kompromittering af applikationen, blev rettelsen udgivet inden for tre uger i 50% af tilfældene, mens der uden tilgængelig information måtte ventes 7 måneder eller længere på udbedringen af sårbarheden. En fjerdedel af de adspurgte udviklere sagde, at når de vælger et bibliotek til indlejring, lægges der først vægt på funktionalitet og licens for koden, og derefter overvejes sikkerheden.
Det er bemærkelsesværdigt, at situationen med kontrol af licenser for koden ikke er bedre — 54% af de adspurgte tilstod, at de ikke altid kontrollerer licensen for bibliotekets kode, før den integreres i deres produkt. Kun 27% af de adspurgte praktiserer obligatorisk kontrol af licenskompatibilitet.
Kilde: opennet.ru
