El Fondo OpenSSF (Open Source Security Foundation), formado por la organización Linux Foundation y destinado a aumentar la seguridad del software de código abierto, ha publicado una nueva edición del estudio Census II, que busca identificar proyectos de código abierto que necesitan una auditoría de seguridad prioritaria. El estudio se centra en el análisis del código abierto compartido, que se utiliza implícitamente en varios proyectos corporativos en forma de dependencias descargadas de repositorios externos.
Como resultado, se han preparado listas de los 500 paquetes más utilizados, cuya seguridad y calidad de mantenimiento requieren atención especial, ya que las vulnerabilidades y la compromisión de desarrolladores de componentes de terceros involucrados en el funcionamiento de aplicaciones (supply chain) pueden anular todo el esfuerzo por mejorar la protección del producto principal. Se han propuesto 8 tipos de listas, cuyo contenido está clasificado según diferentes criterios, como la distribución en repositorios NPM y la disponibilidad de información sobre versiones al determinar dependencias.
Los 10 paquetes de JavaScript más utilizados del repositorio NPM, descargados por aplicaciones sin vinculación a versiones:
- lodash
- react
- axios
- debug
- @babel/core
- express
- semver
- uuid
- react-dom
- jquery
Los 10 paquetes de Python más utilizados en dependencias, distribuidos a través del repositorio pypi:
- seis
- pyyaml
- requests
- urllib3
- jinja2
- python-dateutil
- click
- idna
- chardet
- markupsafe
Los 10 paquetes de Ruby más utilizados en dependencias, distribuidos a través del repositorio RubyGems:
- bouncy-castle-java
- awssdk
- rally-jasmine-core
- aws-sdk
- nunit
- cscsl
- highcharts-js-rails
- antlr3
- rspec
- Jasmine
Los 10 paquetes de Java más utilizados en dependencias, distribuidos a través del repositorio Maven:
- org.slf4j:slf4j-api
- com.fasterxml.jackson.core:jackson-databind
- com.google.guava:guava
- com.fasterxml.jackson.core:jackson-core
- org.springframework:spring-framework-bom
- com.fasterxml.jackson.core:jackson-annotations
- commons-io:commons-io
- junit:junit
- org.apache.commons:commons-lang3
- commons-codec:commons-codec
Los 10 paquetes de .NET más utilizados en dependencias, distribuidos a través del repositorio nuget:
- json.net
- modernizr
- newtonsoft.json
- castle.core-log4net
- newtonsoft.json
- castle.core-log4net
- freqsystemdependencies
- microsoft.extensions.caching.memory
- microsoft.extensions.dependencyinjection.abstractions
Los 10 paquetes más utilizados en dependencias, distribuidos para el lenguaje Go:
- grpc/grpc-go
- kubernetes/client-go
- kubernetes/apimachinery
- kubernetes/api
- stretchr/testify
- kubernetes/klog
- pkg/errors
- spf13/cobra
- x/net
- prometheus/client_golang
Fuente: opennet.ru
