75% daripada aplikasi komersial termasuk kod sumber terbuka yang ketinggalan zaman dengan kelemahan

Syarikat Synopsys dianalisis 1253 pangkalan kod komersial dan membuat kesimpulan bahawa hampir semua (99%) aplikasi komersial yang disemak termasuk sekurang-kurangnya satu komponen sumber terbuka, dan 70% daripada kod dalam repositori yang disemak adalah sumber terbuka. Sebagai perbandingan, dalam kajian serupa pada 2015, bahagian sumber terbuka ialah 36%.

Walau bagaimanapun, dalam kebanyakan kes, kod sumber terbuka pihak ketiga yang digunakan tidak dikemas kini dan mengandungi potensi masalah keselamatan - 91% daripada pangkalan kod yang disemak mempunyai komponen terbuka yang tidak dikemas kini selama lebih daripada 5 tahun atau telah berada dalam bentuk terbengkalai selama sekurang-kurangnya dua tahun dan tidak diselenggara oleh pemaju. Akibatnya, 75% daripada kod sumber terbuka yang dikenal pasti dalam repositori mengandungi kelemahan yang diketahui tidak dipadam, separuh daripadanya mempunyai tahap bahaya yang tinggi. Dalam sampel 2018, bahagian kod dengan kelemahan ialah 60%.

Kerentanan berbahaya yang paling biasa ialah
masalah CVE-2018 16487- (pelaksanaan kod jauh) di perpustakaan lodash untuk Node.js, versi terdedah yang ditemui lebih daripada 500 kali. Kerentanan tertua yang tidak ditambal adalah masalah dalam daemon lpd (CVE-1999 0061-), disemak pada tahun 1999.

Di samping keselamatan dalam asas kod projek komersial, terdapat juga sikap cuai terhadap pematuhan syarat lesen percuma.
Dalam 73% pangkalan kod, masalah ditemui dengan kesahihan penggunaan sumber terbuka, contohnya, lesen yang tidak serasi (biasanya kod GPL disertakan dalam produk komersial tanpa membuka produk terbitan) atau penggunaan kod tanpa menyatakan lesen. 93% daripada semua masalah lesen berlaku dalam aplikasi web dan mudah alih. Dalam permainan, sistem realiti maya, program multimedia dan hiburan, pelanggaran diperhatikan dalam 59% kes.

Secara keseluruhan, kajian mengenal pasti 124 komponen terbuka biasa yang biasa digunakan dalam semua pangkalan kod. Yang paling popular ialah: jQuery (55%), Bootstrap (40%), Font Awesome (31%), Lodash (30%) dan jQuery UI (29%). Dari segi bahasa pengaturcaraan, yang paling popular ialah JavaScript (digunakan dalam 74% projek), C++ (57%), Shell (54%), C (50%), Python (46%), Java (40%), TypeScript (36%), C# (36%); Perl (30%) dan Ruby (25%). Jumlah bahagian bahasa pengaturcaraan ialah:
JavaScript (51%), C++ (10%), Java (7%), Python (7%), Ruby (5%), Go (4%), C (4%), PHP (4%), TypeScript ( 4%), C# (3%), Perl (2%) dan Shell (1%).

Sumber: opennet.ru