Арилжааны хэрэглээний програмуудын 75% нь хуучирсан, сул талтай нээлттэй эх код агуулдаг

Synopsys компани дүн шинжилгээ хийсэн 1253 арилжааны кодын баазыг судалсан бөгөөд хянан үзсэн арилжааны хэрэглээний бараг бүх (99%) нь дор хаяж нэг нээлттэй эх сурвалжийн бүрэлдэхүүн хэсэгтэй, хянагдсан репозиторууд дахь кодын 70% нь нээлттэй эх сурвалж байсан гэсэн дүгнэлтэд хүрсэн. Харьцуулбал, 2015 онд хийсэн ижил төстэй судалгаанд нээлттэй эхийн эзлэх хувь 36% байжээ.

Гэсэн хэдий ч ихэнх тохиолдолд гуравдагч этгээдийн ашигласан нээлттэй эх код нь шинэчлэгдээгүй бөгөөд аюулгүй байдлын болзошгүй асуудлуудыг агуулдаг - хянан шалгасан кодын 91% нь 5-аас дээш жил шинэчлэгдээгүй эсвэл орхигдсон хэлбэрээр нээлттэй бүрэлдэхүүн хэсгүүдтэй байдаг. наад зах нь хоёр жил бөгөөд хөгжүүлэгчид засвар үйлчилгээ хийдэггүй. Үүний үр дүнд репозиторуудад илэрсэн нээлттэй эх кодын 75% нь засварлаагүй мэдэгдэж буй сул талуудыг агуулдаг бөгөөд тэдгээрийн тал хувь нь өндөр түвшний аюултай байдаг. 2018 оны жишээн дээр эмзэг байдал бүхий кодын эзлэх хувь 60% байна.

Хамгийн нийтлэг аюултай эмзэг байдал нь байсан
асуудал CVE-2018-16487 (алсын кодыг гүйцэтгэх) номын санд Лодаш Node.js-ийн хувьд эмзэг хувилбарууд нь 500 гаруй удаа тулгарсан. Хамгийн эртний засварлагдаагүй эмзэг байдал нь lpd дэмон дээр гарсан асуудал байсан (CVE-1999-0061), 1999 онд шинэчлэгдсэн.

Арилжааны төслүүдийн кодын баазын аюулгүй байдлаас гадна үнэгүй лицензийн нөхцлийг дагаж мөрдөхөд хайхрамжгүй ханддаг.
Кодын сангийн 73% -д нь нээлттэй эх сурвалжийг ашиглах хууль ёсны асуудал, жишээлбэл, нийцгүй лиценз (ихэвчлэн GPL код нь дериватив бүтээгдэхүүнийг нээхгүйгээр арилжааны бүтээгдэхүүнд багтдаг) эсвэл лицензийг заагаагүй код ашиглах зэрэг асуудлуудыг илрүүлсэн. Лицензийн асуудлын 93% нь вэб болон гар утасны программ дээр гардаг. Тоглоом, виртуал бодит байдлын систем, мультимедиа, зугаа цэнгэлийн программуудад зөрчил 59% -д ажиглагдсан.

Нийтдээ судалгаагаар бүх кодын суурьт түгээмэл хэрэглэгддэг 124 ердийн нээлттэй бүрэлдэхүүн хэсгүүдийг тодорхойлсон. Хамгийн алдартай нь: jQuery (55%), Bootstrap (40%), Font Awesome (31%), Lodash (30%) болон jQuery UI (29%) юм. Програмчлалын хэлний хувьд хамгийн алдартай нь JavaScript (төслийн 74% -д ашиглагддаг), C++ (57%), Shell (54%), C (50%), Python (46%), Java (40%), TypeScript (36%), C# (36%); Perl (30%), Ruby (25%). Програмчлалын хэлний нийт эзлэх хувь нь:
JavaScript (51%), C++ (10%), Java (7%), Python (7%), Ruby (5%), Go (4%), C (4%), PHP (4%), TypeScript ( 4%), C# (3%), Perl (2%), Shell (1%).

Эх сурвалж: opennet.ru