L'azienda Veracode ha pubblicato i risultati di uno studio sui problemi di sicurezza causati dall'integrazione di librerie open source nelle applicazioni (invece di un legame dinamico, molte aziende copiano semplicemente le librerie necessarie nei loro progetti). Dall'analisi di 86.000 repository e da un sondaggio di circa duemila sviluppatori è emerso che il 79% delle librerie di terze parti integrate nel codice dei progetti non viene mai aggiornato successivamente.
Tuttavia, il codice obsoleto delle librerie diventa la causa di problemi di sicurezza, i quali nel 92% dei casi possono essere evitati semplicemente aggiornando il codice della libreria. Le scuse secondo cui l'aggiornamento delle librerie non viene effettuato a causa di possibili violazioni di compatibilità sono infondate nella maggior parte dei casi, poiché nel 69% dei casi le vulnerabilità sono state risolte in versioni correttive che non hanno comportato cambiamenti nella funzionalità.
L'informazione sui problemi di sicurezza ha anche un impatto sugli sviluppatori: se gli sviluppatori sono stati avvisati di un problema nella libreria, nel 17% dei casi la questione è stata risolta entro un'ora e nel 25% entro una settimana. Quando esistono informazioni su come una vulnerabilità nella libreria possa compromettere l'applicazione, nel 50% dei casi la correzione è stata rilasciata entro tre settimane, mentre senza la fornitura di tali informazioni l'attesa per la risoluzione della vulnerabilità è stata di sette mesi o più. Un quarto degli sviluppatori intervistati ha dichiarato che nella scelta di una libreria da integrare, l'attenzione principale è rivolta alla funzionalità e alla licenza del codice, e solo successivamente alla sicurezza.
È interessante notare che la situazione riguardo alla verifica delle licenze del codice non è migliore: il 54% degli intervistati ha ammesso di non controllare sempre la licenza del codice della libreria prima della sua integrazione nel proprio prodotto. Solo il 27% degli intervistati pratica una verifica obbligatoria della compatibilità delle licenze.
Fonte: opennet.ru
