L'OpenSSF (Open Source Security Foundation), créée par la Linux Foundation et visant à améliorer la sécurité des logiciels open source, a publié une nouvelle édition de l'étude Census II, visant à identifier les projets open source nécessitant des audits de sécurité prioritaires. L'étude se concentre sur l'analyse du code open source partagé qui est implicitement utilisé dans divers projets d'entreprise sous la forme de dépendances téléchargées à partir de référentiels externes.
En conséquence, des listes des 500 packages les plus fréquemment utilisés ont été établies, dont la sécurité et la qualité de la maintenance nécessitent une attention particulière, car les vulnérabilités et la compromission des développeurs de composants tiers impliqués dans le fonctionnement des applications (supply chain) peuvent annuler tous les efforts visant à améliorer la protection du produit principal. Il existe au total 8 options de liste, dont le contenu est classé en fonction de divers critères, tels que la livraison dans le référentiel NPM et la présence d'informations de version lors de la détermination des dépendances.
Les 10 packages JavaScript les plus couramment utilisés du référentiel NPM, téléchargés par les applications sans être liés à la version :
- Lodash
- réagir
- axios
- déboguer
- @babel/core
- express
- couper
- uuid
- réagir-dom
- jquery
Les 10 packages Python les plus couramment utilisés distribués via le référentiel pypi sont :
- six
- pyyaml
- demandes
- urllib3
- Jinja2
- python-dateutil
- cliquez
- idna
- charret
- balisage sécurisé
Les 10 packages de dépendances Ruby les plus couramment utilisés distribués via le référentiel RubyGems sont :
- château gonflable-java
- awssdk
- rallye-jasmine-core
- aws-sdk
- religieuse
- cscsl
- highcharts-js-rails
- antlr3
- rspec
- comme le mien
Les 10 dépendances de packages Java les plus couramment utilisées distribuées via le référentiel Maven sont :
- org.slf4j:slf4j-api
- com.fasterxml.jackson.core:jackson-databind
- com.google.guava:goyave
- com.fasterxml.jackson.core:jackson-core
- org.springframework:spring-framework-bom
- com.fasterxml.jackson.core:jackson-annotations
- commons-io:commons-io
- unité : unité
- org.apache.commons:commons-lang3
- codec-commons:codec-commons
Les 10 packages de dépendances .NET les plus couramment utilisés distribués via le référentiel nuget sont :
- json.net
- sur Facebook
- modernizr
- newtonsoft.json
- château.core-log4net
- newtonsoft.json
- château.core-log4net
- dépendances du système de fréquence
- microsoft.extensions.caching.memory
- microsoft.extensions.dependencyinjection.abstractions
Les 10 packages de dépendances les plus couramment utilisés distribués pour le langage Go sont :
- grpc/grpc-go
- Kubernetes/client-go
- kubernetes/apimachines
- Kubernetes/API
- étirer/témoigner
- Kubernetes/klog
- paquet/erreurs
- spf13/cobra
- x/net
- prometheus/client_golang
Source: opennet.ru