Het bedrijf Veracode heeft de resultaten gepubliceerd van een onderzoek naar de beveiligingsproblemen die ontstaan door het integreren van open bibliotheken in applicaties (in plaats van dynamisch linken kopiëren veel bedrijven gewoon de benodigde bibliotheken in hun projecten). Uit scankiezen van 86.000 repositories en een enquête onder ongeveer twee duizend ontwikkelaars blijkt dat 79% van de geïmplementeerde externe bibliotheken in de code nooit meer worden bijgewerkt.
Verouderde bibliotheekcode is echter een oorzaak van beveiligingsproblemen, waarvan 92% kan worden voorkomen door simpelweg de bibliotheekcode bij te werken. Het is vaak ongegrond om te zeggen dat bibliotheken niet worden bijgewerkt uit vrees voor incompatibiliteit, aangezien in 69% van de gevallen kwetsbaarheden zijn verholpen in correctieversies die geen veranderingen in functionaliteit met zich meebrachten.
Ook de communicatie over kwetsbaarheden beïnvloedt ontwikkelaars — als ontwikkelaars op de hoogte zijn gesteld van een probleem in de bibliotheek, wordt in 17% van de gevallen het probleem binnen een uur opgelost en in 25% binnen een week. Wanneer er informatie beschikbaar is over hoe een kwetsbaarheid in de bibliotheek kan leiden tot een compromittering van de applicatie, wordt in 50% van de gevallen een oplossing binnen drie weken uitgebracht; zonder deze informatie kan het oplossen van de kwetsbaarheid meer dan zeven maanden duren. Een kwart van de ondervraagde ontwikkelaars gaf aan dat bij de keuze van een bibliotheek voor integratie de functionaliteit en de licentie op de code de belangrijkste aandachtspunten zijn, en pas daarna de beveiliging.
Opmerkelijk is dat de situatie met de controle op licenties van de code niet beter is — 54% van de ondervraagden gaf toe dat ze niet altijd de licentie van de bibliotheekcode controleren voordat ze deze in hun product integreren. Slechts 27% van de ondervraagden past een verplichting toe voor het controleren van licentiecompatibiliteit.
Bron: opennet.ru
