È stato istituito il progetto OpenSSF, focalizzato sul miglioramento della sicurezza del software open source

Fondazione Linux ha annunciato sulla formazione di un nuovo progetto congiunto OpenSSF (Open Source Security Foundation), volto a riunire il lavoro dei principali attori del settore per migliorare la sicurezza del software open source. OpenSSF continuerà a sviluppare iniziative quali Infrastructure Initiative e Open Source Security Coalition, oltre a unire altre attività correlate alla sicurezza realizzate dai partecipanti al progetto.

Tra i fondatori di OpenSSF figurano aziende come GitHub, Google, IBM, JPMorgan Chase, Microsoft, NCC Group, OWASP Foundation e Red Hat. Hanno aderito come partecipanti aziende come GitLab, HackerOne, Intel, Uber, VMware, ElevenPaths, Okta, Purdue, SAFECode, StackHawk e Trail of Bits.

Si sottolinea che nel mondo attuale il software open source è molto richiesto in diversi settori, ma la sua sicurezza è influenzata dalle catene di dipendenza e dai partecipanti allo sviluppo. Pertanto, per confermare la sicurezza dei progetti open source è fondamentale la verifica non solo del codice principale, ma anche delle dipendenze, così come l'identificazione degli sviluppatori il cui codice viene incluso nel progetto e una solida autenticazione durante la revisione e i commit. Inoltre, per garantire la sicurezza è necessario l'uso di sistemi di build protetti e la verifica delle build.

Il lavoro di OpenSSF sarà concentrato in ambiti come il coordinamento dei risultati di audit di vari SDK per lo sviluppo di applicazioni che interagiscono con il codice eseguito negli ambienti isolati. Con l'obiettivo di identificare funzioni problematiche che potrebbero essere utilizzate per condurre attacchi, sono stati esaminati otto SDK: delle informazioni sulle vulnerabilità e la diffusione di patch, sviluppo strumenti per garantire la sicurezza, una pubblicazione migliori pratiche per organizzare lo sviluppo in modo sicuro, di quattro vulnerabilità (CVE-2019-14895, CVE-2019-14896, CVE-2019-14897, CVE-2019-14901) nel driver per chip wireless Marvell, che possono portare a un overflow di buffer. L'attacco può essere effettuato da remoto inviando pacchetti formattati in un certo modo quando ci si connette a un punto di accesso wireless dell'attaccante. La minaccia più probabile è il denial of service remoto (crash del kernel), ma non si esclude la possibilità di eseguire codice nel sistema. minacce legate alla sicurezza nel software open source, conducendo auditing e rafforzamento della sicurezza di progetti open source critici, creazione di strumenti per la verifica dell'identità degli sviluppatori.

Fonte: opennet.ru