75% van de commerciële applicaties bevat verouderde open-source code met kwetsbaarheden

Bedrijf Synopsys heeft geanalyseerd 1253 commerciële codebases en kwam tot de conclusie dat bijna alle (99%) onderzochte commerciële applicaties ten minste één component met open source-code bevatten, en dat 70% van de code in de onderzochte repositories open source is. Ter vergelijking: in een vergelijkbaar onderzoek in 2015 was het aandeel open source-code 36%.

In de meeste gevallen wordt de gebruikte third-party open source-code echter niet bijgewerkt en bevat deze potentiële beveiligingsproblemen - 91% van de onderzochten codebases bevat open componenten die al meer dan 5 jaar niet zijn bijgewerkt of al minstens twee jaar in een verwaarloosde staat verkeren en niet meer worden onderhouden door ontwikkelaars. Als gevolg hiervan bevat 75% van de in de repositories aangetroffen open source-code onopgeloste bekende kwetsbaarheden, waarvan de helft een hoog gevaarlijkheidsniveau heeft. In een steekproef uit 2018 was het aandeel code met kwetsbaarheden 60%.

De meest voorkomende gevaarlijke kwetsbaarheid was
een probleem CVE-2018-16487 (remote code execution) in de bibliotheek lodash voor Node.js, waarvan kwetsbare versies meer dan 500 keer zijn aangetroffen. De oudste onopgeloste kwetsbaarheid was een probleem in de lpd-daemon (CVE-1999-0061), die in 1999 is gerepareerd.

Naast beveiliging is er in de codebases van commerciële projecten ook een lichtzinnig omgaan met de vereisten van vrije licenties waar te nemen.
In 73% van de codebases zijn er problemen gevonden met de legaliteit van het gebruik van open source-code, zoals licentie-incompatibiliteit (meestal wordt GPL-code opgenomen in commerciële producten zonder het afgeleide product openbaar te maken) of het gebruik van code zonder vermelding van een licentie. 93% van alle licentieproblemen komt voor in web- en mobiele applicaties. In games, virtual reality-systemen, multimedia- en entertainmentsoftware zijn schendingen in 59% van de gevallen vastgesteld.

In totaal zijn in het onderzoek 124 gangbare open componenten geïdentificeerd die doorgaans in alle codebases worden gebruikt. De populairste zijn: jQuery (55%), Bootstrap (40%), Font Awesome (31%), Lodash (30%) en jQuery UI (29%). Wat programmeertalen betreft, zijn de populairste JavaScript (gebruikt in 74% van de projecten), C++ (57%), Shell (54%), C (50%), Python (46%), Java (40%), TypeScript (36%), C# (36%); Perl (30%) en Ruby (25%). Het totale aandeel programmeertalen is:
JavaScript (51%), C++ (10%), Java (7%), Python (7%), Ruby (5%), Go (4%), C (4%), PHP (4%), TypeScript (4%), C# (3%), Perl (2%) en Shell (1%).

Bron: opennet.ru