상용 애플리케이션의 75%에는 취약점이 있는 오래된 오픈 소스 코드가 포함되어 있습니다.

시놉시스 컴퍼니 분석 1253개의 상용 코드베이스를 검토했으며 검토된 상용 애플리케이션의 거의 모두(99%)에 최소한 하나의 오픈 소스 구성 요소가 포함되어 있으며 검토된 저장소에 있는 코드의 70%가 오픈 소스라는 결론을 내렸습니다. 비교를 위해 2015년 유사한 연구에서는 오픈 소스의 점유율이 36%였습니다.

그러나 대부분의 경우 사용되는 타사 오픈 소스 코드는 업데이트되지 않으며 잠재적인 보안 문제를 포함합니다. 검토된 코드베이스의 91%에는 5년 이상 업데이트되지 않았거나 폐기된 형태의 공개 구성 요소가 있습니다. 최소 75년이 소요되며 개발자가 유지 관리하지 않습니다. 결과적으로 리포지토리에서 식별된 오픈 소스 코드의 2018%에는 패치가 적용되지 않은 알려진 취약점이 포함되어 있으며, 그 중 절반은 높은 위험 수준을 가지고 있습니다. 60년 샘플에서 취약점이 있는 코드의 비율은 XNUMX%였습니다.

가장 일반적인 위험한 취약점은 다음과 같습니다.
문제 CVE-2018-16487 (원격 코드 실행) 라이브러리에서 Lodash Node.js의 경우 취약한 버전이 500회 이상 발견되었습니다. 패치되지 않은 가장 오래된 취약점은 lpd 데몬(CVE-1999-0061), 1999년에 개정됨.

상업용 프로젝트의 코드 기반 보안 외에도 무료 라이센스 조건 준수에 대한 태만한 태도도 있습니다.
코드베이스의 73%에서 호환되지 않는 라이센스(일반적으로 GPL 코드는 파생 제품을 열지 않고 상용 제품에 포함됨) 또는 라이센스를 지정하지 않고 코드를 사용하는 등 오픈 소스 사용의 합법성에 문제가 발견되었습니다. 모든 라이센스 문제의 93%는 웹 및 모바일 애플리케이션에서 발생합니다. 게임, 가상 현실 시스템, 멀티미디어 및 엔터테인먼트 프로그램에서 위반 사례의 59%가 발견되었습니다.

전체적으로 이 연구에서는 모든 코드 베이스에서 일반적으로 사용되는 124개의 일반적인 개방형 구성 요소를 식별했습니다. 가장 인기 있는 것은 jQuery(55%), Bootstrap(40%), Font Awesome(31%), Lodash(30%) 및 jQuery UI(29%)입니다. 프로그래밍 언어 측면에서 가장 인기 있는 언어는 JavaScript(프로젝트의 74%에서 사용), C++(57%), Shell(54%), C(50%), Python(46%), Java(40%), TypeScript(36%), C#(36%); Perl(30%) 및 Ruby(25%). 프로그래밍 언어의 총 점유율은 다음과 같습니다.
JavaScript(51%), C++(10%), Java(7%), Python(7%), Ruby(5%), Go(4%), C(4%), PHP(4%), TypeScript( 4%), C#(3%), Perl(2%) 및 Shell(1%)입니다.

출처 : opennet.ru