75 % komercinių programų yra pasenęs atvirojo kodo kodas su pažeidžiamumu

Kompanija „Synopsys“. analizuojama 1253 99 komercinės kodų bazės ir padarė išvadą, kad beveik visose (70 %) peržiūrėtų komercinių programų buvo bent vienas atvirojo kodo komponentas, o 2015 % peržiūrėtų saugyklų kodo buvo atvirojo kodo. Palyginimui, panašiame tyrime 36 metais atvirojo kodo dalis buvo XNUMX proc.

Tačiau daugeliu atvejų naudojamas trečiosios šalies atvirojo kodo kodas nėra atnaujintas ir gali būti saugos problemų – 91 % peržiūrėtų kodų bazių turi atvirų komponentų, kurie nebuvo atnaujinti daugiau nei 5 metus arba buvo apleistos formos. mažiausiai dvejus metus ir jų neprižiūri kūrėjai. Dėl to 75% saugyklose aptikto atvirojo kodo yra nepataisytų žinomų pažeidžiamumų, iš kurių pusė kelia didelį pavojų. 2018 m. imtyje kodo su pažeidžiamumu dalis buvo 60%.

Dažniausias pavojingas pažeidžiamumas buvo
problema CVE-2018-16487 (nuotolinis kodo vykdymas) bibliotekoje lodash skirta Node.js, kurios pažeidžiamos versijos buvo aptiktos daugiau nei 500 kartų. Seniausias nepataisytas pažeidžiamumas buvo problema lpd demone (CVE-1999-0061), peržiūrėta 1999 m.

Be saugumo komercinių projektų kodų bazėse, taip pat aplaidus požiūris į nemokamų licencijų sąlygų laikymąsi.
73 % kodų bazių buvo rasta problemų dėl atvirojo kodo naudojimo teisėtumo, pavyzdžiui, nesuderinamos licencijos (dažniausiai GPL kodas įtraukiamas į komercinius produktus neatidarant išvestinio produkto) arba kodo naudojimas nenurodant licencijos. 93 % visų licencijų problemų kyla naudojant žiniatinklio ir mobiliąsias programas. Žaidimuose, virtualios realybės sistemose, multimedijos ir pramogų programose pažeidimai pastebėti 59 proc.

Iš viso tyrimo metu buvo nustatyti 124 tipiški atviri komponentai, kurie dažniausiai naudojami visose kodų bazėse. Populiariausi yra: jQuery (55%), Bootstrap (40%), Font Awesome (31%), Lodash (30%) ir jQuery UI (29%). Kalbant apie programavimo kalbas, populiariausios yra JavaScript (naudojama 74% projektų), C++ (57%), Shell (54%), C (50%), Python (46%), Java (40%), TypeScript (36%), C# (36%); Perl (30%) ir Ruby (25%). Bendra programavimo kalbų dalis yra:
JavaScript (51%), C++ (10%), Java (7%), Python (7%), Ruby (5%), Go (4%), C (4%), PHP (4%), TypeScript ( 4%), C# (3%), Perl (2%) ir Shell (1%).

Šaltinis: opennet.ru