{"id":110893,"date":"2023-10-17T09:10:18","date_gmt":"2023-10-17T07:10:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/oczenka-problem-s-soprovozhdeniem-otkrytyh-proektov-i-ispolzovaniem-staryh-zavisimostej"},"modified":"2023-10-17T09:10:18","modified_gmt":"2023-10-17T07:10:19","slug":"oczenka-problem-s-soprovozhdeniem-otkrytyh-proektov-i-ispolzovaniem-staryh-zavisimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/oczenka-problem-s-soprovozhdeniem-otkrytyh-proektov-i-ispolzovaniem-staryh-zavisimostej","title":{"rendered":"Evaluaci\u00f3n de problemas con el mantenimiento de proyectos de c\u00f3digo abierto y el uso de dependencias antiguas","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La empresa Sonatype, especializada en la protecci\u00f3n contra ataques que manipulan la sustituci\u00f3n de componentes de software y dependencias (supply chain), ha publicado los resultados de un estudio (PDF, 62 p\u00e1gs.) sobre problemas con dependencias y el mantenimiento de proyectos de c\u00f3digo abierto en los lenguajes Java, JavaScript, Python y .NET, presentados en los repositorios Maven Central, NPM, PyPl y Nuget. Durante el a\u00f1o se ha observado un aumento del 29% en el n\u00famero de proyectos en los ecosistemas abiertos que se est\u00e1n rastreando. El n\u00famero de descargas de paquetes de los repositorios considerados en 2023 ha crecido un 33%, pero para comparaci\u00f3n, en 2021 el aumento de descargas fue del 73%. <\/p>\n
La actividad maliciosa en los repositorios ha aumentado significativamente: desde el comienzo del a\u00f1o se han identificado 245,000 paquetes maliciosos, y se ha duplicado el n\u00famero de ataques registrados dirigidos a la sustituci\u00f3n de dependencias.
<\/center> <\/p>\n
Muchos proyectos siguen utilizando versiones vulnerables; por ejemplo, el 23% de las descargas del paquete Java Log4j todav\u00eda corresponden a versiones con vulnerabilidades cr\u00edticas que fueron solucionadas en 2021. En el repositorio Maven Central, aproximadamente el 12% de todas las descargas corresponden a componentes que contienen vulnerabilidades conocidas. En promedio, para todos los repositorios, la cuota de descargas de versiones antiguas de paquetes en las categor\u00edas de riesgo (como los que presentan vulnerabilidades no corregidas) es del 20% (en el 80% de los casos se descarga la versi\u00f3n actual). En el 96% de los casos, las descargas de componentes con vulnerabilidades podr\u00edan haberse evitado eligiendo versiones en las que el problema ya ha sido resuelto. <\/p>\n
Un problema considerable para mantener la seguridad es el soporte adecuado de los proyectos. En los ecosistemas de los lenguajes Java y JavaScript, hay grandes problemas en este sentido: en el \u00faltimo a\u00f1o, se ha interrumpido el soporte de uno de cada cinco proyectos (18.6%) que estaba disponible en Maven Central y NPM, y que fue atendido el a\u00f1o anterior. De 1.176 millones de proyectos analizados en los repositorios Maven, NPM, PyPl y Nuget, solo el 11% (118,000) contin\u00faa siendo activamente mantenido. <\/p>\n
En el transcurso de la investigaci\u00f3n, tambi\u00e9n se realiz\u00f3 una encuesta a 621 desarrolladores profesionales de diferentes empresas. El 67% de los encuestados consideran que sus aplicaciones no utilizan bibliotecas vulnerables; el 10% ha enfrentado incidentes de seguridad en los \u00faltimos 12 meses debido a vulnerabilidades en software de c\u00f3digo abierto, y el 20% no sabe qu\u00e9 responder. El 28% de las compa\u00f1\u00edas determina la presencia de componentes vulnerables en un plazo de 1 d\u00eda despu\u00e9s de la divulgaci\u00f3n de datos sobre la vulnerabilidad, el 39% de 1 a 7 d\u00edas, y el 29% m\u00e1s de una semana. \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Evaluaci\u00f3n](\"\/wp-content\/uploads\/2023\/10\/51959a6d676e0ad5ee98884567dd49ec.png\")
<\/center> <\/p>\n