{"id":110893,"date":"2023-10-17T09:10:18","date_gmt":"2023-10-17T07:10:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/oczenka-problem-s-soprovozhdeniem-otkrytyh-proektov-i-ispolzovaniem-staryh-zavisimostej"},"modified":"2023-10-17T09:10:18","modified_gmt":"2023-10-17T07:10:19","slug":"oczenka-problem-s-soprovozhdeniem-otkrytyh-proektov-i-ispolzovaniem-staryh-zavisimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/oczenka-problem-s-soprovozhdeniem-otkrytyh-proektov-i-ispolzovaniem-staryh-zavisimostej","title":{"rendered":"Beoordeling van problemen met het onderhoud van open projecten en het gebruik van verouderde afhankelijkheden","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Het bedrijf Sonatype, dat zich richt op de bescherming tegen aanvallen die gebruikmaken van de manipulatie van softwarecomponenten en afhankelijkheden (supply chain), heeft de resultaten gepubliceerd van een onderzoek (PDF, 62 pagina's) naar de problemen met afhankelijkheden en het onderhoud van open-source projecten in de programmeertalen Java, JavaScript, Python en .NET, die zijn te vinden in de repositories van Maven Central, NPM, PyPl en Nuget. Het afgelopen jaar is het aantal projecten in de onderzochte open ecosystemen gemiddeld met 29% toegenomen. Het aantal downloads van pakketten uit de onderzochte repositories is in 2023 met 33% gestegen, vergeleken met een stijging van 73% in 2021. <\/p>\n
De kwaadaardige activiteiten in repositories zijn aanzienlijk toegenomen - sinds het begin van het jaar zijn er 245.000 kwaadaardige pakketten ontdekt en is het aantal geregistreerde aanvallen op het vervalsen van afhankelijkheden verdubbeld.
<\/center> <\/p>\n
Veel projecten blijven kwetsbare versies gebruiken; bijvoorbeeld, 23% van de downloads van het Java-pakket Log4j bestaat nog steeds uit versies met kritische kwetsbaarheden die in 2021 zijn opgelost. In de Maven Central repository komt ongeveer 12% van alle downloads van componenten met bekende kwetsbaarheden. Gemiddeld bedraagt het aandeel downloads van oude versies van pakketten die tot de risicovolle categorie\u00ebn behoren (bijvoorbeeld met onverholpen kwetsbaarheden) 20% (in 80% van de gevallen wordt de actuele versie gedownload). In 96% van de gevallen konden downloads van kwetsbare componenten worden vermeden door te kiezen voor versies waarin het probleem al was opgelost. <\/p>\n
Een aanzienlijke probleem voor het behoud van veiligheid is ook de kwalitatieve ondersteuning van projecten. In de ecosystemen voor de talen Java en JavaScript zijn hier grote problemen mee - in het afgelopen jaar is de ondersteuning van elk vijfde project (18,6%) in Maven Central en NPM, dat vorig jaar werd ondersteund, stopgezet. Van de 1,176 miljoen geanalyseerde projecten die aanwezig zijn in de Maven, NPM, PyPl en Nuget repositories, blijft slechts 11% (118.000) actief ondersteund. <\/p>\n
Tijdens het onderzoek werd ook een enqu\u00eate gehouden onder 621 professionele ontwikkelaars van verschillende bedrijven. 67% van de ondervraagden denkt dat hun applicaties geen kwetsbare bibliotheken gebruiken, 10% heeft de afgelopen 12 maanden te maken gehad met beveiligingsincidenten veroorzaakt door kwetsbaarheden in open source software, en 20% heeft geen antwoord kunnen geven. 28% van de bedrijven identificeert kwetsbare componenten binnen 1 dag na de bekendmaking van de kwetsbaarheid, 39% - tussen 1 en 7 dagen, en 29% - langer dan een week. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Beoordeling](\"\/wp-content\/uploads\/2023\/10\/51959a6d676e0ad5ee98884567dd49ec.png\")
<\/center> <\/p>\n