De OpenSSF (Open Source Security Foundation), opgericht door de Linux Foundation en gericht op het verhogen van de beveiliging van open-source software, heeft een nieuwe editie van het Census II-onderzoek gepubliceerd, dat gericht is op het identificeren van open projecten die prioritair behoefte hebben aan een beveiligingsaudit. Het onderzoek is gericht op de analyse van gedeelde open code die impliciet wordt gebruikt in verschillende bedrijfsprojecten in de vorm van afhankelijkheden, gedownload uit externe repositories.
Uiteindelijk zijn er lijsten samengesteld van 500 meest gebruikte pakketten waarvan de beveiliging en kwaliteitsborging bijzondere aandacht vereisen, aangezien kwetsbaarheden en compromittering van de ontwikkelaars van externe componenten die in applicaties worden gebruikt (supply chain) al het werk aan verbetering van de beveiliging van het hoofdproduct teniet kunnen doen. Er zijn in totaal 8 opties voor lijsten aangeboden, waarvan de inhoud is gerangschikt op basis van verschillende criteria, zoals levering in de NPM-repository en de beschikbaarheid van versie-informatie bij het bepalen van afhankelijkheden.
De 10 meest gebruikte JavaScript-pakketten uit de NPM-repository, die door applicaties zonder versiebinding worden gedownload:
- lodash
- react
- axios
- debug
- @babel/core
- express
- semver
- uuid
- react-dom
- jquery
De 10 meest gebruikte Python-pakketten in afhankelijkheden die via de pypi-repository worden verspreid:
- zes
- pyyaml
- requests
- urllib3
- jinja2
- python-dateutil
- klik
- idna
- chardet
- markupsafe
De 10 meest gebruikte Ruby-pakketten in afhankelijkheden die via de RubyGems-repository worden verspreid:
- bouncy-castle-java
- awssdk
- rally-jasmine-core
- aws-sdk
- nunit
- cscsl
- highcharts-js-rails
- antlr3
- rspec
- asmine
De 10 meest gebruikte Java-pakketten in afhankelijkheden die via de Maven-repository worden verspreid:
- org.slf4j:slf4j-api
- com.fasterxml.jackson.core:jackson-databind
- com.google.guava:guava
- com.fasterxml.jackson.core:jackson-core
- org.springframework:spring-framework-bom
- com.fasterxml.jackson.core:jackson-annotations
- commons-io:commons-io
- junit:junit
- org.apache.commons:commons-lang3
- commons-codec:commons-codec
De 10 meest gebruikte .NET-pakketten in afhankelijkheden die via de nuget-repository worden verspreid:
- json.net
- modernizr
- newtonsoft.json
- castle.core-log4net
- newtonsoft.json
- castle.core-log4net
- freqsystemdependencies
- microsoft.extensions.caching.memory
- microsoft.extensions.dependencyinjection.abstractions
De 10 meest gebruikte pakketten in afhankelijkheden die voor de programmeertaal Go worden verspreid:
- grpc/grpc-go
- kubernetes/client-go
- kubernetes/apimachinery
- kubernetes/api
- stretchr/testify
- kubernetes/klog
- pkg/errors
- spf13/cobra
- x/net
- prometheus/client_golang
Bron: opennet.ru
