OpenSSF-fonden (Open Source Security Foundation), som bildades av Linux Foundation och syftar till att öka säkerheten för öppen källkod, har publicerat en ny version av sin undersökning Census II, som syftar till att identifiera öppna projekt som behöver prioriterad säkerhetsgranskning. Undersökningen fokuserar på analys av delad öppen kod som implicit används i olika företagsprojekt i form av beroenden som laddas ner från externa arkiv.
Som resultat har listor över 500 av de mest använda paketen tagits fram, vars säkerhet och kvalitetsuppföljning kräver särskild uppmärksamhet, eftersom sårbarheter och komprometteringar av utvecklare av tredjepartskomponenter som används i applikationers (supply chain) arbete kan motverka alla ansträngningar för att förbättra skyddet av huvudprodukten. Totalt föreslås 8 olika listalternativ, vars innehåll rangordnas beroende på olika kriterier, såsom distribution i NPM-repositoriet och tillgång på versionsinformation vid bestämmande av beroenden.
De 10 mest använda JavaScript-paketen från NPM-repositoriet som laddas ner av applikationer utan versionsbindning:
- lodash
- react
- axios
- debug
- @babel/core
- express
- semver
- uuid
- react-dom
- jquery
De 10 mest använda Python-paketen i beroenden som distribueras via pypi-repositoriet:
- sex
- pyyaml
- requests
- urllib3
- jinja2
- python-dateutil
- click
- idna
- chardet
- markupsafe
De 10 mest använda Ruby-paketen i beroenden som distribueras via RubyGems-repositoriet:
- bouncy-castle-java
- awssdk
- rally-jasmine-core
- aws-sdk
- nunit
- cscsl
- highcharts-js-rails
- antlr3
- rspec
- Jasmine
De 10 mest använda Java-paketen i beroenden som distribueras via Maven-repositoriet:
- org.slf4j:slf4j-api
- com.fasterxml.jackson.core:jackson-databind
- com.google.guava:guava
- com.fasterxml.jackson.core:jackson-core
- org.springframework:spring-framework-bom
- com.fasterxml.jackson.core:jackson-annotations
- commons-io:commons-io
- junit:junit
- org.apache.commons:commons-lang3
- commons-codec:commons-codec
De 10 mest använda .NET-paketen i beroenden som distribueras via nuget-repositoriet:
- json.net
- modernizr
- newtonsoft.json
- castle.core-log4net
- newtonsoft.json
- castle.core-log4net
- freqsystemdependencies
- microsoft.extensions.caching.memory
- microsoft.extensions.dependencyinjection.abstractions
De 10 mest använda paketen i beroenden som distribueras för Go-språket:
- grpc/grpc-go
- kubernetes/client-go
- kubernetes/apimachinery
- kubernetes/api
- stretchr/testify
- kubernetes/klog
- pkg/errors
- spf13/cobra
- x/net
- prometheus/client_golang
Källa: opennet.ru
