Forskare frÄn företaget Aqua Security har publicerat resultaten av en analys av statistiken för 50 000 av de mest nedladdade paketen i NPM-repositoriet. 7500 (15%) av de mest nedladdade paketen visade sig vara relaterade till förÄldrade paket och projekt som har upphört. För att förenkla identifieringen av förÄldrade paket bland beroenden som anvÀnds i ens projekt har ett verktyg föreslagits, Dependency-Deprecated-Checker, publicerat under MIT-licensen.
I 4100 (8,2%) av de granskade paketen i beroendekedjan har paket som officiellt har deklarerats förÄldrade i NPM eller som Àr relaterade till förÄldrade projekt identifierats (till exempel Àr paketet request mÀrkt som förÄldrat men anvÀnds fortfarande som ett direkt beroende av 55000 paket). 2300 (4,6%) paket Àr kopplade till repositories pÄ GitHub som har klassificerats som arkiverade (utvecklingen har upphört, till exempel har repositoryt för paketet through markerats som arkiverat men anvÀnds som ett direkt beroende av 3000 paket). 1100 (2,2%) paket refererar till redan existerande repositories, vars Ätkomst resulterar i ett 404-fel. 3100 (6,2%) paket innehÄller ingen information om repository.
I absoluta termer har spridningen av förÄldrade paket och paket utan lÀnkar till repositories i NPM extrapolerats till cirka 2,1 miljarder nedladdningar per vecka. AnvÀndning av förÄldrade paket och underhÄllna projekt som beroenden innebÀr en risk för att det finns oÄtgÀrdade sÄrbarheter, sÀrskilt med tanke pÄ den praxis som vissa utvecklare tillÀmpar av att dölja borttagningar av sÄrbarheter utan att tilldela en CVE-identifierare och utan att tydligt pÄpeka lösningen av problemet.
KĂ€lla: opennet.ru
