Veracode har publicerat resultaten av en studie kring sÀkerhetsproblem som orsakas av inbÀddning av öppna bibliotek i applikationer (istÀllet för dynamisk lÀnkning kopierar mÄnga företag bara in de nödvÀndiga biblioteken i sina projekt). Genom att skanna 86 000 repositorier och intervjua cirka tvÄ tusen utvecklare har det konstaterats att 79 % av de inbÀddade externa biblioteken i projekten aldrig uppdateras.
Samtidigt blir förÄldrad kod i biblioteken en kÀlla till sÀkerhetsproblem, som i 92 % av fallen kan undvikas genom en enkel uppdatering av bibliotekets kod. UrsÀkterna för att uppdateringar av biblioteken inte görs pÄ grund av potentiella kompatibilitetsproblem Àr oftast ogrundade, eftersom sÄrbarheterna ÄtgÀrdades i 69 % av fallen i korrigerande utgÄvor som inte var kopplade till förÀndringar i funktionalitet.
Ăven meddelandet till utvecklarna om nya sĂ„rbarheter spelar roll â om utvecklarna informerades om problemet i biblioteket, löstes problemet i 17 % av fallen inom en timme, och i 25 % inom en vecka. NĂ€r information fanns om hur en sĂ„rbarhet i biblioteket kunde leda till kompromettering av applikationen, slĂ€pptes en Ă„tgĂ€rdande patch inom tre veckor i 50 % av fallen; utan sĂ„dan information fick man vĂ€nta mer Ă€n sju mĂ„nader pĂ„ att sĂ„rbarheten skulle Ă„tgĂ€rdas. En fjĂ€rdedel av de tillfrĂ„gade utvecklarna uppgav att de vid val av bibliotek för inbĂ€ddning primĂ€rt fokuserar pĂ„ funktionaliteten och licensen pĂ„ koden, och först dĂ€refter pĂ„ sĂ€kerheten.
Det Ă€r vĂ€rt att notera att situationen gĂ€llande kontroll av licenser pĂ„ koden inte Ă€r mycket bĂ€ttre â 54 % av de tillfrĂ„gade erkĂ€nde att de inte alltid kontrollerar licensen för ett bibliotek innan de integrerar det i sin produkt. Endast 27 % av de tillfrĂ„gade praktiserar obligatorisk kontroll av licenskompatibilitet.
KĂ€lla: opennet.ru
