{"id":110893,"date":"2023-10-17T09:10:18","date_gmt":"2023-10-17T07:10:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/oczenka-problem-s-soprovozhdeniem-otkrytyh-proektov-i-ispolzovaniem-staryh-zavisimostej"},"modified":"2023-10-17T09:10:18","modified_gmt":"2023-10-17T07:10:19","slug":"oczenka-problem-s-soprovozhdeniem-otkrytyh-proektov-i-ispolzovaniem-staryh-zavisimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/oczenka-problem-s-soprovozhdeniem-otkrytyh-proektov-i-ispolzovaniem-staryh-zavisimostej","title":{"rendered":"Bewertung der Probleme bei der Unterst\u00fctzung offener Projekte und der Verwendung alter Abh\u00e4ngigkeiten","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Das Unternehmen Sonatype, das auf den Schutz vor Angriffen spezialisiert ist, die auf die Manipulation von Softwarekomponenten und Abh\u00e4ngigkeiten (Supply Chain) abzielen, hat die Ergebnisse einer Studie (PDF, 62 Seiten) zu Problemen mit Abh\u00e4ngigkeiten und der Wartung von Open-Source-Projekten in den Programmiersprachen Java, JavaScript, Python und .NET ver\u00f6ffentlicht, die in den Repositories Maven Central, NPM, PyPl und Nuget bereitgestellt werden. Im Laufe eines Jahres wurde ein Anstieg der Anzahl der Projekte in den verfolgten offenen \u00d6kosystemen um durchschnittlich 29 % festgestellt. Die Anzahl der Downloads von Paketen aus den untersuchten Repositories stieg im Jahr 2023 um 33 %, w\u00e4hrend die Anzahl der Downloads im Jahr 2021 um 73 % zunahm. <\/p>\n
Die b\u00f6swillige Aktivit\u00e4t in den Repositories ist erheblich gestiegen \u2013 seit Jahresbeginn wurden 245.000 b\u00f6sartige Pakete identifiziert, und die Zahl der dokumentierten Angriffe, die auf das Ersetzen von Abh\u00e4ngigkeiten abzielen, hat sich verdoppelt.
<\/center> <\/p>\n
Viele Projekte verwenden weiterhin verwundbare Versionen, zum Beispiel machen 23 % der Downloads des Java-Pakets Log4j immer noch Versionen mit kritischen Sicherheitsanf\u00e4lligkeiten aus, die bereits im Jahr 2021 behoben wurden. Im Repository Maven Central entfallen etwa 12 % aller Downloads auf Komponenten, die bekannte Schwachstellen enthalten. Im Durchschnitt machen Downloads alter Versionen von Paketen, die als riskant gelten (z. B. mit unbehebten Sicherheitsanf\u00e4lligkeiten), 20 % aus (in 80 % der F\u00e4lle wird die aktuelle Version heruntergeladen). In 96 % der F\u00e4lle h\u00e4tten Downloads von Komponenten mit Sicherheitsanf\u00e4lligkeiten vermieden werden k\u00f6nnen, wenn Versionen gew\u00e4hlt worden w\u00e4ren, in denen das Problem bereits behoben wurde. <\/p>\n
Ein bedeutendes Problem bei der Aufrechterhaltung der Sicherheit ist auch die aktive Betreuung von Projekten. In den \u00d6kosystemen f\u00fcr die Programmiersprachen Java und JavaScript gibt es gro\u00dfe Probleme \u2013 im letzten Jahr wurde die Betreuung jedes f\u00fcnften Projekts (18,6 %), das im Maven Central und NPM vertreten ist und im Vorjahr betreut wurde, eingestellt. Von 1,176 Millionen analysierten Projekten in den Repositories Maven, NPM, PyPl und Nuget werden nur 11 % (118.000) weiterhin aktiv betreut. <\/p>\n
Im Rahmen der Studie wurde auch eine Umfrage unter 621 professionellen Entwicklern aus verschiedenen Unternehmen durchgef\u00fchrt. 67 % der Befragten sind der Ansicht, dass ihre Anwendungen keine verwundbaren Bibliotheken verwenden, 10 % hatten in den letzten 12 Monaten Sicherheitsvorf\u00e4lle, die durch Schwachstellen in Open-Source-Software verursacht wurden, und 20 % konnten keine Aussage treffen. 28 % der Unternehmen identifizieren das Vorhandensein von verwundbaren Komponenten innerhalb eines Tages nach Bekanntwerden der Schwachstelle, 39 % \u2013 zwischen 1 und 7 Tagen, und 29 % \u2013 l\u00e4nger als eine Woche. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Bewertung](\"\/wp-content\/uploads\/2023\/10\/51959a6d676e0ad5ee98884567dd49ec.png\")
<\/center> <\/p>\n