{"id":100611,"date":"2021-06-27T10:23:04","date_gmt":"2021-06-27T08:23:04","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/79-vstroennyh-v-kod-storonnih-bibliotek-nikogda-ne-obnovlyayutsya"},"modified":"2021-06-27T10:23:04","modified_gmt":"2021-06-27T08:23:04","slug":"79-vstroennyh-v-kod-storonnih-bibliotek-nikogda-ne-obnovlyayutsya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/79-vstroennyh-v-kod-storonnih-bibliotek-nikogda-ne-obnovlyayutsya","title":{"rendered":"79% der im Code eingebetteten Drittanbieter-Bibliotheken werden niemals aktualisiert.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Firma Veracode hat die Ergebnisse einer Untersuchung zu Sicherheitsproblemen ver\u00f6ffentlicht, die aus der Einbindung von Open-Source-Bibliotheken in Anwendungen resultieren (anstatt dynamisches Binden nutzen viele Unternehmen einfach die ben\u00f6tigten Bibliotheken, indem sie diese in ihre Projekte kopieren). Bei der Analyse von 86.000 Repositories und einer Umfrage unter rund 2.000 Entwicklern wurde festgestellt, dass 79 % der in den Code \u00fcbertragenen Drittanbieter-Bibliotheken niemals aktualisiert werden. <\/p>\n
Dabei wird der veraltete Bibliothekscode zur Ursache f\u00fcr Sicherheitsprobleme, die in 92 % der F\u00e4lle durch einfaches Aktualisieren des Bibliothekscodes vermieden werden k\u00f6nnen. Die Ausrede, dass Bibliotheksaktualisierungen wegen m\u00f6glicher Inkompatibilit\u00e4ten nicht durchgef\u00fchrt werden, ist in den meisten F\u00e4llen unbegr\u00fcndet, da in 69 % der F\u00e4lle die Schwachstellen in Korrekturausgaben behoben wurden, die nicht mit \u00c4nderungen der Funktionalit\u00e4t verbunden sind. <\/p>\n
Die Information der Entwickler \u00fcber die Entstehung von Sicherheitsanf\u00e4lligkeiten hat ebenfalls einen Einfluss: Wenn die Entwickler \u00fcber ein Problem in einer Bibliothek informiert wurden, konnte in 17 % der F\u00e4lle das Problem innerhalb einer Stunde behoben werden, und in 25 % der F\u00e4lle innerhalb einer Woche. Wenn Informationen dar\u00fcber bereitgestellt wurden, wie eine Sicherheitsanf\u00e4lligkeit in der Bibliothek zur Kompromittierung der Anwendung f\u00fchren kann, wurde in 50 % der F\u00e4lle innerhalb von drei Wochen ein Fix ver\u00f6ffentlicht. Ohne diese Informationen mussten die Entwickler jedoch mit der Behebung der Sicherheitsanf\u00e4lligkeit sieben Monate oder l\u00e4nger warten. Ein Viertel der befragten Entwickler gab an, dass bei der Auswahl einer Bibliothek f\u00fcr die Integration zun\u00e4chst auf die Funktionalit\u00e4t und die Lizenzierung des Codes geachtet wird, bevor Sicherheitsaspekte in Betracht gezogen werden. <\/p>\n
Bemerkenswert ist, dass auch die \u00dcberpr\u00fcfung von Lizenzen f\u00fcr den Code nicht besser aussieht: 54 % der Befragten gaben zu, dass sie nicht immer die Lizenz der Bibliothek \u00fcberpr\u00fcfen, bevor sie diese in ihr Produkt integrieren. Eine Pflicht zur \u00dcberpr\u00fcfung der Lizenzkompatibilit\u00e4t praktizieren nur 27 % der Befragten. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"