L'azienda Sonatype, specializzata nella protezione dagli attacchi che manipolano la sostituzione dei componenti software e delle dipendenze (supply chain), ha pubblicato i risultati di uno studio (PDF, 62 pag.) sui problemi relativi alle dipendenze e alla gestione dei progetti open source nei linguaggi Java, JavaScript, Python e .NET, presenti nei repository Maven Central, NPM, PyPl e Nuget. In un anno, si è registrato un aumento medio del 29% nel numero di progetti nelle ecosistemi open source monitorati. Il numero di download di pacchetti dai repository esaminati nel 2023 è aumentato del 33%, ma, a titolo di confronto, nel 2021 il numero di download era cresciuto del 73%.
C'è stata un aumento significativo dell'attività malevola nei repository: dall'inizio dell'anno sono stati rilevati 245.000 pacchetti malevoli e il numero di attacchi registrati, mirati alla sostituzione delle dipendenze, è raddoppiato.
Molti progetti continuano a utilizzare versioni vulnerabili; ad esempio, il 23% dei download del pacchetto Java Log4j è ancora composto da versioni con vulnerabilità critiche risolte nel 2021. Nel repository Maven Central, circa il 12% di tutti i download proviene da componenti contenenti vulnerabilità note. In media, per tutti i repository, la quota di download di vecchie versioni di pacchetti, rientranti nelle categorie rischiose (ad esempio, con vulnerabilità non risolte) è del 20% (nel 80% dei casi viene scaricata la versione più attuale). Nel 96% dei casi, i download di componenti vulnerabili avrebbero potuto essere evitati scegliendo versioni in cui il problema era già stato risolto.
Un problema significativo per mantenere la sicurezza è anche la qualità della gestione dei progetti. Negli ecosistemi dei linguaggi Java e JavaScript ci sono grandi problemi: nell'ultimo anno è stata interrotta la gestione di uno su cinque progetti (18,6%), presenti in Maven Central e NPM, e gestiti l'anno precedente. Su 1,176 milioni di progetti analizzati, presenti nei repository Maven, NPM, PyPl e Nuget, solo il 11% (118.000) continua ad essere attivamente gestito.
Nel corso della ricerca è stato anche condotto un sondaggio su 621 sviluppatori professionisti di diverse aziende. Il 67% degli intervistati ritiene che le loro applicazioni non utilizzino librerie vulnerabili, il 10% ha affrontato negli ultimi 12 mesi incidenti di sicurezza causati da vulnerabilità nel software open source e il 20% ha difficoltà a rispondere. Il 28% delle aziende identifica la presenza di componenti vulnerabili entro 1 giorno dalla divulgazione dei dati sulle vulnerabilità, il 39% da 1 a 7 giorni e il 29% oltre una settimana.
Fonte: opennet.ru
