O Fundo OpenSSF (Open Source Security Foundation), criado pela Linux Foundation e focado em aumentar a segurança do software de código aberto, publicou uma nova edição do estudo Census II, que visa identificar projetos abertos que necessitam de auditoria de segurança prioritária. O estudo é voltado para a análise de código aberto compartilhado, implicitamente usado em vários projetos corporativos na forma de dependências, baixadas de repositórios externos.
Como resultado, foram preparados listas com os 500 pacotes mais utilizados, cuja segurança e qualidade de manutenção requerem atenção especial, pois vulnerabilidades e compromissos com desenvolvedores de componentes de terceiros, envolvidos na operação de aplicações (supply chain), podem anular todos os esforços para melhorar a proteção do produto principal. Ao todo, foram propostos 8 tipos de listas, cujo conteúdo é classificado com base em vários critérios, como fornecimento em repositórios NPM e a disponibilidade de informações sobre a versão ao determinar dependências.
Os 10 pacotes JavaScript mais utilizados do repositório NPM, baixados por aplicações sem ligação à versão:
- lodash
- react
- axios
- debug
- @babel/core
- express
- semver
- uuid
- react-dom
- jquery
Os 10 pacotes Python mais utilizados em dependências, distribuídos através do repositório pypi:
- seis
- pyyaml
- requests
- urllib3
- jinja2
- python-dateutil
- click
- idna
- chardet
- markupsafe
Os 10 pacotes Ruby mais utilizados em dependências, distribuídos através do repositório RubyGems:
- bouncy-castle-java
- awssdk
- rally-jasmine-core
- aws-sdk
- nunit
- cscsl
- highcharts-js-rails
- antlr3
- rspec
- asmine
Os 10 pacotes Java mais utilizados em dependências, distribuídos através do repositório Maven:
- org.slf4j:slf4j-api
- com.fasterxml.jackson.core:jackson-databind
- com.google.guava:guava
- com.fasterxml.jackson.core:jackson-core
- org.springframework:spring-framework-bom
- com.fasterxml.jackson.core:jackson-annotations
- commons-io:commons-io
- junit:junit
- org.apache.commons:commons-lang3
- commons-codec:commons-codec
Os 10 pacotes .NET mais utilizados em dependências, distribuídos através do repositório nuget:
- json.net
- modernizr
- newtonsoft.json
- castle.core-log4net
- newtonsoft.json
- castle.core-log4net
- freqsystemdependencies
- microsoft.extensions.caching.memory
- microsoft.extensions.dependencyinjection.abstractions
Os 10 pacotes mais utilizados em dependências, distribuídos para a linguagem Go:
- grpc/grpc-go
- kubernetes/client-go
- kubernetes/apimachinery
- kubernetes/api
- stretchr/testify
- kubernetes/klog
- pkg/errors
- spf13/cobra
- x/net
- prometheus/client_golang
Fonte: opennet.ru
