75% der kommerziellen Anwendungen enthalten veralteten Open-Source-Code mit Sicherheitsanfälligkeiten

Die Firma Synopsys analysierte 1253 kommerzielle Codebasen und kam zu dem Schluss, dass fast alle (99%) der geprüften kommerziellen Anwendungen mindestens eine Komponente mit Open-Source-Code enthalten, während 70% des Codes in den geprüften Repositories Open Source sind. Zum Vergleich lag der Anteil des Open-Source-Codes in einer ähnlichen Studie von 2015 bei 36%.

Dabei wird in den meisten Fällen der verwendete Drittanbieter-Open-Source-Code nicht aktualisiert und enthält potenzielle Sicherheitsprobleme – in 91% der geprüften Codebasen gibt es Open-Source-Komponenten, die seit mehr als 5 Jahren nicht mehr aktualisiert wurden oder seit mindestens zwei Jahren in einem verwahrlosten Zustand sind und keine Entwickler mehr unterstützen. Infolgedessen weisen 75% des in den Repositories gefundenen Open-Source-Codes nicht behobene bekannte Vulnerabilitäten auf, von denen die Hälfte ein hohes Gefährdungspotenzial hat. Bei einer Stichprobe aus dem Jahr 2018 lag der Anteil des Codes mit Sicherheitsanfälligkeiten bei 60%.

Die am häufigsten auftretende kritische Sicherheitsanfälligkeit war
Problem CVE-2018-16487 (Remote Code Execution) in der Bibliothek lodash für Node.js, bei der anfällige Versionen mehr als 500 Mal vorkamen. Die älteste nicht behobene Sicherheitsanfälligkeit war ein Problem im lpd-Daemon (CVE-1999-0061), behoben im Jahr 1999.

Neben der Sicherheit zeigen die Codebasen von kommerziellen Projekten auch eine nachlässige Behandlung der Einhaltung der Bedingungen freier Lizenzen.
In 73% der Codebasen wurden Probleme mit der Legalität der Nutzung des Open-Source-Codes festgestellt, beispielsweise Lizenzinkompatibilitäten (in der Regel wird GPL-Code in kommerzielle Produkte integriert, ohne das abgeleitete Produkt offenzulegen) oder die Verwendung von Code ohne Angabe der Lizenz. 93% aller Lizenzprobleme treten in Netz- und mobilen Anwendungen auf. In Spielen, virtuellen Realitätssystemen sowie Multimedia- und Unterhaltungsprogrammen wurden in 59% der Fälle Verstöße festgestellt.

Insgesamt wurden im Rahmen der Untersuchung 124 gängige Open-Source-Komponenten identifiziert, die typischerweise in allen Codebasen verwendet werden. Die bekanntesten darunter sind: jQuery (55 %), Bootstrap (40 %), Font Awesome (31 %), Lodash (30 %) und jQuery UI (29 %). Aufgeschlüsselt nach Programmiersprachen sind JavaScript (in 74 % der Projekte verwendet), C++ (57 %), Shell (54 %), C (50 %), Python (46 %), Java (40 %), TypeScript (36 %), C# (36 %); Perl (30 %) und Ruby (25 %) am beliebtesten. Der Gesamtanteil der Programmiersprachen beträgt:
JavaScript (51 %), C++ (10 %), Java (7 %), Python (7 %), Ruby (5 %), Go (4 %), C (4 %), PHP (4 %), TypeScript (4 %), C# (3 %), Perl (2 %) und Shell (1 %).

Quelle: opennet.ru