75% komerciālo lietojumprogrammu ietver novecojušu atvērtā pirmkoda kodu ar ievainojamībām

Uzņēmums Synopsys analizēts 1253 komerciālās kodu bāzes un secināja, ka gandrīz visās (99%) pārskatītajās komerciālajās lietojumprogrammās bija iekļauts vismaz viens atvērtā pirmkoda komponents, un 70% koda pārskatītajās krātuvēs bija atvērtā pirmkoda. Salīdzinājumam, līdzīgā pētījumā 2015. gadā atklātā pirmkoda īpatsvars bija 36%.

Tomēr vairumā gadījumu izmantotais trešās puses atvērtā pirmkoda kods netiek atjaunināts un satur iespējamās drošības problēmas — 91% pārskatīto kodu bāzu ir atvērti komponenti, kas nav atjaunināti vairāk nekā 5 gadus vai ir bijuši pamestā formā. vismaz divus gadus, un tos neuztur izstrādātāji. Rezultātā 75% no krātuvēs identificētā atvērtā pirmkoda koda satur neizlabotas zināmas ievainojamības, no kurām pusei ir augsts bīstamības līmenis. 2018. gada izlasē koda ar ievainojamībām īpatsvars bija 60%.

Visizplatītākā bīstamā ievainojamība bija
problēma CVE-2018-16487 (attālā koda izpilde) bibliotēkā lodash Node.js, kura ievainojamās versijas tika sastaptas vairāk nekā 500 reižu. Vecākā neaizlāgotā ievainojamība bija problēma lpd dēmonā (CVE-1999-0061), pārskatīts 1999. gadā.

Bez drošības komercprojektu kodu bāzēs vērojama arī nolaidīga attieksme pret bezmaksas licenču nosacījumu ievērošanu.
73% kodu bāzu tika konstatētas atklātā pirmkoda izmantošanas likumības problēmas, piemēram, nesaderīgas licences (parasti GPL kods tiek iekļauts komerciālos produktos, neatverot atvasinātu produktu) vai koda izmantošana, nenorādot licenci. 93% no visām licences problēmām rodas tīmekļa un mobilajās lietojumprogrammās. Spēlēs, virtuālās realitātes sistēmās, multimediju un izklaides programmās pārkāpumi tika pamanīti 59% gadījumu.

Kopumā pētījumā tika identificēti 124 tipiski atvērti komponenti, kas parasti tiek izmantoti visās kodu bāzēs. Populārākie ir: jQuery (55%), Bootstrap (40%), Font Awesome (31%), Lodash (30%) un jQuery UI (29%). Programmēšanas valodu ziņā populārākās ir JavaScript (izmanto 74% projektu), C++ (57%), Shell (54%), C (50%), Python (46%), Java (40%), TypeScript (36%), C# (36%); Perl (30%) un Ruby (25%). Kopējais programmēšanas valodu īpatsvars ir:
JavaScript (51%), C++ (10%), Java (7%), Python (7%), Ruby (5%), Go (4%), C (4%), PHP (4%), TypeScript ( 4%), C# (3%), Perl (2%) un Shell (1%).

Avots: opennet.ru