I ricercatori di Aqua Security hanno pubblicato i risultati di un'analisi statistica su 50.000 dei pacchetti più scaricati nel repository NPM. 7.500 (15%) dei pacchetti più scaricati sono risultati essere associati a pacchetti obsoleti e progetti non più esistenti. Per semplificare l'identificazione dei pacchetti obsoleti tra le dipendenze utilizzate nel proprio progetto, è stata proposta un'utility chiamata Dependency-Deprecated-Checker, pubblicata sotto licenza MIT.
In 4.100 (8,2%) dei pacchetti esaminati nella catena delle dipendenze, sono stati identificati pacchetti ufficialmente dichiarati obsoleti da NPM o collegati a progetti obsoleti (ad esempio, il pacchetto request è contrassegnato come obsoleto, ma continua a essere utilizzato come dipendenza diretta da 55.000 pacchetti). 2.300 (4,6%) pacchetti sono associati a repository di GitHub archiviati (sviluppo interrotto, ad esempio il repository del pacchetto through è marcato come archiviato, ma è utilizzato come dipendenza diretta da 3.000 pacchetti). 1.100 (2,2%) pacchetti fanno riferimento a repository già non esistenti, il cui accesso restituisce un errore 404. 3.100 (6,2%) pacchetti non contengono informazioni sul repository.
In termini assoluti, la diffusione di pacchetti obsoleti e pacchetti senza riferimenti ai repository in NPM è stata estrapolata a circa 2,1 miliardi di download a settimana. L'uso di pacchetti obsoleti e di progetti abbandonati come dipendenze comporta il rischio di esposizione a vulnerabilità non corrette, soprattutto considerando la pratica adottata da alcuni sviluppatori di risolvere discretamente le vulnerabilità senza assegnare un identificativo CVE e senza mettere in evidenza la risoluzione del problema.
Fonte: opennet.ru
