A Veracode közzétette annak a kutatásnak az eredményeit, amely a nyílt könyvtárak alkalmazásokba történő integrálásával összefüggő biztonsági problémákat vizsgálta (sok vállalat egyszerűen csak bemásolja a szükséges könyvtárakat a projektjeikbe a dinamikus linkelés helyett). A 86 ezer tároló átvizsgálása és körülbelül kétezer fejlesztő megkérdezése során megállapították, hogy a projektekbe integrált külső könyvtárak 79%-a soha nem frissül.
A régi könyvtári kód azonban biztonsági problémákat okoz, amelyeket a legtöbb esetben, 92%-ban, egyszerű kódfrissítéssel el lehetne kerülni. Az az érv, miszerint a könyvtárak frissítése a kompatibilitás sérülése miatt nem történik meg, a legtöbb esetben megalapozatlan, mivel az esetek 69%-ában a sebezhetőségeket a funkciók megváltoztatása nélküli javítókiadások orvosolják.
A hatásra szintén befolyással van a fejlesztők tájékoztatása a sebezhetőségek megjelenéséről — ha a fejlesztőket értesítették a könyvtárban jelentkező problémáról, az esetek 17%-ában a probléma egy órán belül megoldódott, és 25%-ában egy héten belül. Ha információ áll rendelkezésre arról, hogy a könyvtár sebezhetősége hogyan vezethet az alkalmazás kompromittálásához, az esetek 50%-ában a javítás három héten belül megjelenik, míg információk hiányában a sebezhetőség megszüntetésére 7 hónapnál hosszabb várakozásra van szükség. A megkérdezett fejlesztők negyede elmondta, hogy a könyvtár kiválasztása során elsődlegesen a funkcionalitásra és a kódlicencre összpontosítanak, és csak utána figyelembe veszik a biztonságot.
Érdekes, hogy a kódlicencék ellenőrzésével kapcsolatban a helyzet sem jobb — a megkérdezettek 54%-a bevallotta, hogy nem mindig ellenőrzik a könyvtár kódjának licencét annak integrálása előtt a termékükbe. A kötelező licenc-összeférhetőség ellenőrzését csak a megkérdezettek 27%-a gyakorolja.
Forrás: opennet.ru
