{"id":110893,"date":"2023-10-17T09:10:18","date_gmt":"2023-10-17T07:10:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/oczenka-problem-s-soprovozhdeniem-otkrytyh-proektov-i-ispolzovaniem-staryh-zavisimostej"},"modified":"2023-10-17T09:10:18","modified_gmt":"2023-10-17T07:10:19","slug":"oczenka-problem-s-soprovozhdeniem-otkrytyh-proektov-i-ispolzovaniem-staryh-zavisimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/oczenka-problem-s-soprovozhdeniem-otkrytyh-proektov-i-ispolzovaniem-staryh-zavisimostej","title":{"rendered":"\u00c9valuation des probl\u00e8mes li\u00e9s au maintien des projets open source et \u00e0 l'utilisation de d\u00e9pendances obsol\u00e8tes","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La soci\u00e9t\u00e9 Sonatype, sp\u00e9cialis\u00e9e dans la protection contre les attaques manipulant le remplacement des composants logiciels et des d\u00e9pendances (supply chain), a publi\u00e9 les r\u00e9sultats d'une \u00e9tude (PDF, 62 pages) sur les probl\u00e8mes de d\u00e9pendances et de maintien des projets open source dans les langages Java, JavaScript, Python et .NET, pr\u00e9sent\u00e9s dans les d\u00e9p\u00f4ts Maven Central, NPM, PyPl et Nuget. Au cours de l'ann\u00e9e, le nombre de projets dans les \u00e9cosyst\u00e8mes open source suivis a augment\u00e9 en moyenne de 29 %. Le nombre de t\u00e9l\u00e9chargements de paquets dans les d\u00e9p\u00f4ts examin\u00e9s en 2023 a augment\u00e9 de 33 %, mais pour comparaison, en 2021, le nombre de t\u00e9l\u00e9chargements avait augment\u00e9 de 73 %. <\/p>\n
L'activit\u00e9 malveillante dans les d\u00e9p\u00f4ts a consid\u00e9rablement augment\u00e9 \u2014 depuis le d\u00e9but de l'ann\u00e9e, 245 000 paquets malveillants ont \u00e9t\u00e9 identifi\u00e9s, et le nombre d'attaques visant \u00e0 substituer des d\u00e9pendances a doubl\u00e9.
<\/center> <\/p>\n
De nombreux projets continuent d'utiliser des versions vuln\u00e9rables, par exemple, 23 % des t\u00e9l\u00e9chargements du paquet Java Log4j concernent encore des versions pr\u00e9sentant des vuln\u00e9rabilit\u00e9s critiques corrig\u00e9es en 2021. Dans le d\u00e9p\u00f4t Maven Central, environ 12 % de tous les t\u00e9l\u00e9chargements concernent des composants contenant des vuln\u00e9rabilit\u00e9s connues. En moyenne, pour tous les d\u00e9p\u00f4ts, la part de t\u00e9l\u00e9chargements d'anciennes versions de paquets, class\u00e9es comme risqu\u00e9es (par exemple, avec des vuln\u00e9rabilit\u00e9s non corrig\u00e9es), s'\u00e9l\u00e8ve \u00e0 20 % (dans 80 % des cas, la version actuelle est t\u00e9l\u00e9charg\u00e9e). Dans 96 % des cas, les t\u00e9l\u00e9chargements de composants vuln\u00e9rables auraient pu \u00eatre \u00e9vit\u00e9s en choisissant des versions dans lesquelles le probl\u00e8me avait d\u00e9j\u00e0 \u00e9t\u00e9 r\u00e9solu. <\/p>\n
Un probl\u00e8me majeur en mati\u00e8re de s\u00e9curit\u00e9 r\u00e9side \u00e9galement dans l'accompagnement de qualit\u00e9 des projets. Dans les \u00e9cosyst\u00e8mes pour les langages Java et JavaScript, cela pose de gros probl\u00e8mes \u2014 au cours de l'ann\u00e9e derni\u00e8re, chaque cinqui\u00e8me projet (18,6 %) pr\u00e9sent\u00e9 sur Maven Central et NPM, qui \u00e9tait maintenu l'ann\u00e9e pr\u00e9c\u00e9dente, a cess\u00e9 d'\u00eatre soutenu. Parmi les 1,176 million de projets analys\u00e9s pr\u00e9sents dans les d\u00e9p\u00f4ts Maven, NPM, PyPl et Nuget, seulement 11 % (118 000) continuent d'\u00eatre activement maintenus. <\/p>\n
Au cours de l'\u00e9tude, un sondage a \u00e9galement \u00e9t\u00e9 r\u00e9alis\u00e9 aupr\u00e8s de 621 d\u00e9veloppeurs professionnels de diff\u00e9rentes entreprises. 67 % des r\u00e9pondants estiment que leurs applications n'utilisent pas de biblioth\u00e8ques vuln\u00e9rables, 10 % ont rencontr\u00e9 des incidents de s\u00e9curit\u00e9 au cours des 12 derniers mois dus \u00e0 des vuln\u00e9rabilit\u00e9s dans des logiciels open source, et 20 % ne savent pas r\u00e9pondre. 28 % des entreprises d\u00e9tectent la pr\u00e9sence de composants vuln\u00e9rables dans un d\u00e9lai d'un jour apr\u00e8s la divulgation des informations sur la vuln\u00e9rabilit\u00e9, 39 % \u2014 entre 1 et 7 jours, et 29 % \u2014 plus d'une semaine. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"\u00c9valuation](\"\/wp-content\/uploads\/2023\/10\/51959a6d676e0ad5ee98884567dd49ec.png\")
<\/center> <\/p>\n