Spoločnosť Veracode zverejnila výsledky štúdie o problémoch s bezpečnosťou spôsobenými integráciou otvorených knižníc do aplikácií (namiesto dynamického prepojenia si mnohé spoločnosti jednoducho kopírujú potrebné knižnice do svojich projektov). Po preskúmaní 86 tisíc repozitárov a prieskume približne dvoch tisíc vývojárov sa ukázalo, že 79 % prenesených do kódu projektov tretích strán sa nikdy neaktualizuje.
Zastaralý kód knižníc je pritom príčinou bezpečnostných problémov, ktorým sa v 92 % prípadov dá predísť jednoducho aktualizovaním kódu knižnice. Výhovorky, že aktualizácia knižníc nie je vykonaná kvôli možnému narušeniu kompatibility, sú v mnohých prípadoch neopodstatnené, keďže v 69 % prípadov boli zraniteľnosti odstránené v opravách, ktoré neboli spojené so zmenou funkčnosti.
Na vývojárov má tiež vplyv informovanie o vznikajúcich zraniteľnostiach — ak boli vývojári o probléme v knižnici informovaní, v 17 % prípadov bola problematika vyriešená do jednej hodiny, a v 25 % — do jedného týždňa. Ak mali informácie o tom, ako môže zraniteľnosť v knižnici viesť ku kompromitácii aplikácie, v 50 % prípadov bola oprava vydaná do troch týždňov, a bez poskytnutia informácií sa opravy zraniteľnosti museli čakať 7 a viac mesiacov. Štvrtina respondentov uviedla, že pri výbere knižnice na integráciu sa primárne zameriava na funkčnosť a licenciu kódu, a až potom na bezpečnosť.
Zaujímavé je, že situácia s kontrolou licencií na kód nie je lepšia — 54 % respondentov priznalo, že pred integráciou knižnice do svojho produktu nie vždy kontrolujú jej licenciu. Povinnú kontrolu licenčnej kompatibility praktizuje len 27 % respondentov.
Zdroj: opennet.ru
