OpenSSF (Open Source Security Foundation), der er dannet af Linux Foundation med fokus på at forbedre sikkerheden i open source-software, har offentliggjort en ny udgave af Census II-undersøgelsen, der har til formål at identificere open source-projekter, der har brug for en prioriteret sikkerhedsrevision. Undersøgelsen fokuserer på analysen af delte open source-koder, der implicit anvendes i forskellige virksomheders projekter i form af afhængigheder, der hentes fra eksterne repositoryer.
Som resultat er der udarbejdet lister over de 500 mest brugte pakker, hvis sikkerhed og kvalitet kræver særlig opmærksomhed, da sårbarheder og kompromittering af tredjepartsudviklere involveret i applikationers forsyningskæde kan mindske alle bestræbelser på at forbedre beskyttelsen af den primære produkt. I alt er der foreslået 8 varianter af lister, hvis indhold er rangeret baseret på forskellige kriterier, såsom levering fra NPM-repositoryet og tilgængeligheden af versionsinformation ved bestemmelse af afhængigheder.
10 mest brugte JavaScript-pakker fra NPM-repositoryet, der hentes af applikationer uden versionsbinding:
- lodash
- react
- axios
- debug
- @babel/core
- express
- semver
- uuid
- react-dom
- jquery
10 mest brugte Python-pakker i afhængigheder, distribueret via pypi-repositoryet:
- seks
- pyyaml
- requests
- urllib3
- jinja2
- python-dateutil
- click
- idna
- chardet
- markupsafe
10 mest brugte Ruby-pakker i afhængigheder, distribueret via RubyGems repository:
- bouncy-castle-java
- awssdk
- rally-jasmine-core
- aws-sdk
- nunit
- cscsl
- highcharts-js-rails
- antlr3
- rspec
- asmine
10 mest brugte Java-pakker i afhængigheder, distribueret via Maven repository:
- org.slf4j:slf4j-api
- com.fasterxml.jackson.core:jackson-databind
- com.google.guava:guava
- com.fasterxml.jackson.core:jackson-core
- org.springframework:spring-framework-bom
- com.fasterxml.jackson.core:jackson-annotations
- commons-io:commons-io
- junit:junit
- org.apache.commons:commons-lang3
- commons-codec:commons-codec
10 mest brugte .NET-pakker i afhængigheder, distribueret via nuget repository:
- json.net
- modernizr
- newtonsoft.json
- castle.core-log4net
- newtonsoft.json
- castle.core-log4net
- freqsystemdependencies
- microsoft.extensions.caching.memory
- microsoft.extensions.dependencyinjection.abstractions
10 mest brugte pakker i afhængigheder distribueret for Go-sproget:
- grpc/grpc-go
- kubernetes/client-go
- kubernetes/apimachinery
- kubernetes/api
- stretchr/testify
- kubernetes/klog
- pkg/errors
- spf13/cobra
- x/net
- prometheus/client_golang
Kilde: opennet.ru
