{"id":110893,"date":"2023-10-17T09:10:18","date_gmt":"2023-10-17T07:10:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/oczenka-problem-s-soprovozhdeniem-otkrytyh-proektov-i-ispolzovaniem-staryh-zavisimostej"},"modified":"2023-10-17T09:10:18","modified_gmt":"2023-10-17T07:10:19","slug":"oczenka-problem-s-soprovozhdeniem-otkrytyh-proektov-i-ispolzovaniem-staryh-zavisimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/oczenka-problem-s-soprovozhdeniem-otkrytyh-proektov-i-ispolzovaniem-staryh-zavisimostej","title":{"rendered":"Bewertung von Problemen bei der Betreuung offener Projekte und der Verwendung veralteter Abh\u00e4ngigkeiten","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Das Unternehmen Sonatype, das auf den Schutz vor Angriffen spezialisiert ist, die bei der Manipulation von Softwarekomponenten und Abh\u00e4ngigkeiten (Supply Chain) auftreten, hat die Ergebnisse einer Studie (PDF, 62 Seiten) ver\u00f6ffentlicht, die Probleme mit Abh\u00e4ngigkeiten und der Wartung offener Projekte in den Programmiersprachen Java, JavaScript, Python und .NET untersucht. Diese Projekte sind in den Repositories Maven Central, NPM, PyPI und NuGet vertreten. Im vergangenen Jahr wurde ein Anstieg der Projekte in den verfolgten offenen \u00d6kosystemen im Durchschnitt um 29 % festgestellt. Die Anzahl der Paketdownloads aus den betrachteten Repositories ist im Jahr 2023 um 33 % gestiegen, w\u00e4hrend sie im Jahr 2021 noch um 73 % anstieg. <\/p>\n
Die b\u00f6sartige Aktivit\u00e4t in den Repositories hat erheblich zugenommen \u2014 seit Jahresbeginn wurden 245.000 schadhafte Pakete identifiziert, und die Zahl der dokumentierten Angriffe, die auf das Manipulieren von Abh\u00e4ngigkeiten abzielten, hat sich verdoppelt.
<\/center> <\/p>\n
Viele Projekte verwenden weiterhin verwundbare Versionen, zum Beispiel machen 23% der Downloads des Java-Pakets Log4j immer noch Versionen mit kritischen Sicherheitsl\u00fccken aus, die 2021 behoben wurden. In dem Maven Central-Repository entfallen etwa 12% aller Downloads auf Komponenten mit bekannten Schwachstellen. Im Durchschnitt betr\u00e4gt der Anteil der Downloads alter Versionen von Paketen, die als risikobehaftet gelten (zum Beispiel solchen mit ungepatchten Schwachstellen), 20% (in 80% der F\u00e4lle wird die aktuelle Version heruntergeladen). In 96% der F\u00e4lle h\u00e4tten Downloads von Komponenten mit Schwachstellen vermieden werden k\u00f6nnen, indem Versionen gew\u00e4hlt wurden, in denen das Problem bereits behoben ist. <\/p>\n
Ein erhebliches Problem f\u00fcr die Aufrechterhaltung der Sicherheit ist auch die qualitativ hochwertige Begleitung von Projekten. In den \u00d6kosystemen f\u00fcr die Programmiersprachen Java und JavaScript gibt es dabei gro\u00dfe Schwierigkeiten \u2014 im letzten Jahr wurde die Betreuung jedes f\u00fcnften Projekts (18,6 %), das in Maven Central und NPM vertreten war und im Vorjahr betreut wurde, eingestellt. Von den 1,176 Millionen analysierten Projekten, die in den Repositories Maven, NPM, PyPl und Nuget vorhanden sind, werden nur 11 % (118.000) weiterhin aktiv betreut. <\/p>\n
Im Rahmen der Untersuchung wurde auch eine Umfrage unter 621 professionellen Entwicklern aus verschiedenen Unternehmen durchgef\u00fchrt. 67% der Befragten glauben, dass ihre Anwendungen keine verwundbaren Bibliotheken nutzen, 10% hatten in den letzten 12 Monaten Sicherheitsvorf\u00e4lle aufgrund von Schwachstellen in Open-Source-Software, und 20% k\u00f6nnen keine Aussage treffen. 28% der Unternehmen identifizieren das Vorhandensein von verwundbaren Komponenten innerhalb von 1 Tag nach Bekanntgabe der Schwachstelle, 39% innerhalb von 1 bis 7 Tagen und 29% ben\u00f6tigen mehr als eine Woche. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Bewertung](\"\/wp-content\/uploads\/2023\/10\/51959a6d676e0ad5ee98884567dd49ec.png\")
<\/center> <\/p>\n