Il Fondo OpenSSF (Open Source Security Foundation), istituito dalla Linux Foundation e volto a migliorare la sicurezza del software open source, ha pubblicato una nuova edizione dello studio Census II, mirato a identificare i progetti open source che necessitano di una prioritaria revisione della sicurezza. Lo studio è focalizzato sull'analisi del codice open source condiviso, implicito in diversi progetti aziendali sotto forma di dipendenze scaricate da repository esterni.
Sono stati elaborati elenchi di 500 pacchetti più comunemente utilizzati, la cui sicurezza e qualità di supporto richiede particolare attenzione, poiché le vulnerabilità e il compromesso degli sviluppatori di componenti di terze parti coinvolti nel funzionamento delle applicazioni (supply chain) possono annullare tutti gli sforzi per migliorare la protezione del prodotto principale. Sono stati proposti 8 diversi tipi di elenchi, il cui contenuto è classificato in base a criteri differenti, come la disponibilità nei repository NPM e la presenza di informazioni sulla versione nella determinazione delle dipendenze.
I 10 pacchetti JavaScript più utilizzati del repository NPM, scaricati dalle applicazioni senza legame con la versione:
- lodash
- react
- axios
- debug
- @babel/core
- express
- semver
- uuid
- react-dom
- jquery
I 10 pacchetti Python più utilizzati nelle dipendenze, distribuiti attraverso il repository pypi:
- six
- pyyaml
- requests
- urllib3
- jinja2
- python-dateutil
- click
- idna
- chardet
- markupsafe
I 10 pacchetti Ruby più utilizzati nelle dipendenze, distribuiti attraverso il repository RubyGems:
- bouncy-castle-java
- awssdk
- rally-jasmine-core
- aws-sdk
- nunit
- cscsl
- highcharts-js-rails
- antlr3
- rspec
- Jasmine
I 10 pacchetti Java più utilizzati nelle dipendenze, distribuiti attraverso il repository Maven:
- org.slf4j:slf4j-api
- com.fasterxml.jackson.core:jackson-databind
- com.google.guava:guava
- com.fasterxml.jackson.core:jackson-core
- org.springframework:spring-framework-bom
- com.fasterxml.jackson.core:jackson-annotations
- commons-io:commons-io
- junit:junit
- org.apache.commons:commons-lang3
- commons-codec:commons-codec
I 10 pacchetti .NET più utilizzati nelle dipendenze, distribuiti attraverso il repository nuget:
- json.net
- modernizr
- newtonsoft.json
- castle.core-log4net
- newtonsoft.json
- castle.core-log4net
- freqsystemdependencies
- microsoft.extensions.caching.memory
- microsoft.extensions.dependencyinjection.abstractions
I 10 pacchetti più utilizzati nelle dipendenze, distribuiti per il linguaggio Go:
- grpc/grpc-go
- kubernetes/client-go
- kubernetes/apimachinery
- kubernetes/api
- stretchr/testify
- kubernetes/klog
- pkg/errors
- spf13/cobra
- x/net
- prometheus/client_golang
Fonte: opennet.ru
