L'azienda Sonatype, specializzata nella protezione contro attacchi che manipolano la sostituzione di componenti software e dipendenze (supply chain), ha pubblicato i risultati di uno studio (PDF, 62 pagine) sui problemi legati alle dipendenze e alla gestione dei progetti open source in linguaggi come Java, JavaScript, Python e .NET, presenti nei repository Maven Central, NPM, PyPl e Nuget. Nell'ultimo anno, si è registrato un aumento medio del 29% nel numero di progetti nelle ecosistemi open source monitorate. Nel 2023, il numero di download dei pacchetti dai repository esaminati è aumentato del 33%, mentre nel 2021 era aumentato del 73%.
È aumentata in modo significativo l'attività malevola nei repository: dall'inizio dell'anno sono stati identificati 245.000 pacchetti malevoli, e il numero di attacchi registrati mirati alla sostituzione delle dipendenze è raddoppiato.
Molti progetti continuano a utilizzare versioni vulnerabili; ad esempio, il 23% dei download del pacchetto Java Log4j è ancora costituito da versioni con vulnerabilità critiche risolte nel 2021. Nel repository Maven Central, circa il 12% di tutti i download riguarda componenti con vulnerabilità note. In media, per tutti i repository, la quota di download di versioni obsolete di pacchetti appartenenti a categorie di rischio (ad esempio, con vulnerabilità non risolte) è del 20% (nell'80% dei casi viene scaricata la versione attuale). Nel 96% dei casi, i download di componenti vulnerabili avrebbero potuto essere evitati scegliendo versioni in cui il problema era già stato risolto.
Un'ulteriore problematica nella gestione della sicurezza è rappresentata dalla qualità della gestione dei progetti. Nelle ecosistemi per i linguaggi Java e JavaScript, ci sono gravi problemi: nell'ultimo anno, è stata interrotta la gestione di uno su cinque progetti (18,6%) presentati in Maven Central e NPM e gestiti l'anno precedente. Su 1,176 milioni di progetti analizzati, presenti nei repository Maven, NPM, PyPl e Nuget, solo l'11% (118.000) continua ad essere gestito attivamente.
Durante lo studio è stata anche condotta un'indagine su 621 sviluppatori professionisti di diverse aziende. Il 67% dei partecipanti ritiene che le loro applicazioni non utilizzino librerie vulnerabili; il 10% ha affrontato incidenti di sicurezza negli ultimi 12 mesi a causa di vulnerabilità nel software open source, mentre il 20% ha difficoltà a rispondere. Il 28% delle aziende identifica la presenza di componenti vulnerabili entro 1 giorno dalla divulgazione dei dati sulle vulnerabilità, il 39% tra 1 e 7 giorni, e il 29% oltre una settimana.
Fonte: opennet.ru
