{"id":110893,"date":"2023-10-17T09:10:18","date_gmt":"2023-10-17T07:10:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/oczenka-problem-s-soprovozhdeniem-otkrytyh-proektov-i-ispolzovaniem-staryh-zavisimostej"},"modified":"2023-10-17T09:10:18","modified_gmt":"2023-10-17T07:10:19","slug":"oczenka-problem-s-soprovozhdeniem-otkrytyh-proektov-i-ispolzovaniem-staryh-zavisimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/oczenka-problem-s-soprovozhdeniem-otkrytyh-proektov-i-ispolzovaniem-staryh-zavisimostej","title":{"rendered":"Avatud projektide hoolduse ja vanade s\u00f5ltuvuste probleemide hindamine","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Sonatype, mis on spetsialiseerunud r\u00fcnnakute kaitsmisele, mis manipuleerivad tarkvarakomponentide ja s\u00f5ltuvuste (supply chain) asendamisega, avaldas uurimistulemused (PDF, 62 lk) s\u00f5ltuvuste ja avatud projektide hoolduse probleemidest programmeerimiskeeltel Java, JavaScript, Python ja .NET, mis on esindatud Maven Central, NPM, PyPl ja Nuget hoidlates. Aasta jooksul on j\u00e4lgitavates avatud \u00f6kos\u00fcsteemides projektide arv keskmiselt kasvanud 29%. T\u00f5statatud pakettide allalaadimised k\u00e4sitletud hoidlates 2023. aastal kasvasid 33%, kuid v\u00f5rreldes 2021. aastaga suurenes allalaadimiste arv 73%. <\/p>\n
Kurjuse aktiivsus hoidlas on oluliselt kasvanud \u2014 selle aasta algusest on tuvastatud 245 tuhat kahjulikku paketti ja r\u00fcnnakute arv, mis on suunatud s\u00f5ltuvuste asendamisele, on kahekordistunud.
<\/center> <\/p>\n
Paljud projektid j\u00e4tkavad haavatavate versioonide kasutamist: n\u00e4iteks moodustab 23% Java-paketi Log4j allalaadimistest endiselt versioonid, millel on kriitilised haavatavused, mis k\u00f5rvaldati 2021. aastal. Maven Central hoidlas on umbes 12% k\u00f5igist allalaadimistest seotud komponentidega, mis sisaldavad tuntud haavatavusi. Keskmiselt moodustab k\u00f5igi hoidlate vanade versioonide allalaadimiste osakaal, mis kuuluvad riskigruppidesse (nt parandamata haavatavustega), 20% (80% juhtudest allalaaditakse v\u00e4rske versioon). 96% juhtudest oli allalaadimiste puhul, kus esinesid haavatavused, v\u00f5imalik v\u00e4ltida valides versioonid, milles probleem on juba lahendatud. <\/p>\n
Oluline probleem turvalisuse tagamisel on ka projektide kvaliteetne hooldus. Java ja JavaScripti \u00f6kos\u00fcsteemides on selle osas suured probleemid \u2014 viimase aasta jooksul on iga viies projekt (18,6%), mis oli esindatud Maven Centralis ja NPM-is ning mille hooldus toimus eelmisel aastal, l\u00f5petanud hoolduse. Analooge on anal\u00fc\u00fcsitud 1,176 miljonis projektis, mis on olemas Maven, NPM, PyPl ja Nuget hoidlates, ainult 11% (118 tuhat) projekti j\u00e4tkab aktiivset hooldust. <\/p>\n
Uuringu k\u00e4igus viidi l\u00e4bi ka k\u00fcsitlus 621 professionaalse arendaja seas erinevates ettev\u00f5tetes. 67% vastanutest usuvad, et nende rakendused ei kasuta haavatavaid teeke, 10% on viimase 12 kuu jooksul kogenud turvaintsidente, mis on p\u00f5hjustatud avatud l\u00e4htekoodiga tarkvara haavatavustest, ning 20% ei oska vastata. 28% ettev\u00f5tetest tuvastavad haavatavad komponendid \u00fche p\u00e4eva jooksul p\u00e4rast haavatavuse avalikustamist, 39% \u2014 1 kuni 7 p\u00e4eva jooksul, ja 29% \u2014 rohkem kui n\u00e4dal. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Avatud](\"\/wp-content\/uploads\/2023\/10\/51959a6d676e0ad5ee98884567dd49ec.png\")
<\/center> <\/p>\n