Az OpenSSF (Open Source Security Foundation), amelyet a Linux Foundation alapított, és amelynek célja az open source szoftverek biztonságának növelése, közzétette a Census II kutatás új kiadását, amely arra irányul, hogy feltérképezze azokat az open source projekteket, amelyek elsődleges biztonsági auditot igényelnek. A kutatás célja a közösen használt nyílt kód elemzése, amely implicite szerepel különböző vállalati projektekben, mint függőségek, külső repertoárakból letöltve.
Ennek eredményeként elkészültek az 500 leggyakrabban használt csomag listái, amelyek biztonsága és karbantartásának minősége különös figyelmet igényel, mivel a sebezhetőségek és harmadik fél komponenseinek fejlesztői szempontból történő kompromittálása (supply chain) megsemmisítheti az alaptermék védelmének javítására tett összes erőfeszítést. Összesen 8 javasolt lista áll rendelkezésre, amelyek tartalma különböző kritériumok szerint van rangsorolva, például az NPM tárolóban való megjelenés és a függőségek verzióinformációinak megléte alapján.
Leggyakrabban használt 10 JavaScript-csomag az NPM tárolóból, amelyeket alkalmazások töltöttek le verziók megkötése nélkül:
- lodash
- react
- axios
- debug
- @babel/core
- express
- semver
- uuid
- react-dom
- jquery
Leggyakrabban használt 10 Python-csomag a pypi tárolón keresztül terjesztve:
- six
- pyyaml
- library-k segítségével. Általános formában a web-kérdések szerkezete három részből áll:
- urllib3
- jinja2
- python-dateutil
- click
- idna
- chardet
- markupsafe
Leggyakrabban használt 10 Ruby-csomag a RubyGems tárolón keresztül terjesztve:
- bouncy-castle-java
- awssdk
- rally-jasmine-core
- aws-sdk
- nunit
- cscsl
- highcharts-js-rails
- antlr3
- rspec
- asmine
Leggyakrabban használt 10 Java-csomag a Maven tárolón keresztül terjesztve:
- org.slf4j:slf4j-api
- com.fasterxml.jackson.core:jackson-databind
- com.google.guava:guava
- com.fasterxml.jackson.core:jackson-core
- org.springframework:spring-framework-bom
- com.fasterxml.jackson.core:jackson-annotations
- commons-io:commons-io
- junit:junit
- org.apache.commons:commons-lang3
- commons-codec:commons-codec
Leggyakrabban használt 10 .NET-csomag a nuget tárolón keresztül terjesztve:
- json.net
- modernizr
- newtonsoft.json
- castle.core-log4net
- newtonsoft.json
- castle.core-log4net
- freqsystemdependencies
- microsoft.extensions.caching.memory
- microsoft.extensions.dependencyinjection.abstractions
Leggyakrabban használt 10 függőségcsomag a Go nyelvhez:
- grpc/grpc-go
- kubernetes/client-go
- kubernetes/apimachinery
- kubernetes/api
- stretchr/testify
- kubernetes/klog
- pkg/errors
- spf13/cobra
- x/net
- prometheus/client_golang
Forrás: opennet.ru
