Rankning av bibliotek som kräver särskild säkerhetskontroll

Den bildade fonden vid organiseringen av Linux Foundation Core Infrastructure Initiative, där ledande företag har förenat sina insatser för att stödja öppna projekt inom nyckelområden i databranschen, genomförde den andra undersökningen inom programmet Census, som syftar till att identifiera öppna projekt som behöver prioriterad säkerhetsgranskning.

Den andra undersökningen är inriktad på att analysera delade öppna koder som implicit används i olika företagsprojekt i form av beroenden som laddas från externa arkiv. Sårbarheter och kompromettering av utvecklare av tredjeparts-komponenter som används i applikationers försörjningskedja kan undergräva alla ansträngningar för att förbättra skyddet av huvudprodukten. Resultatet av undersökningen har identifierat de 10 mest använda paketen inom JavaScript och Java, vars säkerhet och supportaktiviteter kräver särskild uppmärksamhet.

JavaScript-bibliotek från npm-repositoriet:

• async (196 000 rader kod, 11 författare, 7 committers, 11 öppna frågor);
• inherits (3 800 rader kod, 3 författare, 1 committer, 3 öppna frågor);
• isarray (317 rader kod, 3 författare, 3 committers, 4 öppna frågor);
• kind-of (2 000 rader kod, 11 författare, 11 committers, 3 öppna frågor);
• lodash (42 000 rader kod, 28 författare, 2 committers, 30 öppna frågor);
• minimist (1 200 rader kod, 14 författare, 6 committers, 38 öppna frågor);
• natives (3 000 rader kod, 2 författare, 1 committer, inga öppna frågor);
• qs (5 400 rader kod, 5 författare, 2 committers, 41 öppna frågor);
• readable-stream (28 000 rader kod, 10 författare, 3 committers, 21 öppna frågor);
• string_decoder (4 200 rader kod, 4 författare, 3 committers, 2 öppna frågor).

Java-bibliotek från Maven-repositorier:

• jackson-core (74 000 rader kod, 7 författare, 6 committers, 40 öppna frågor);
• jackson-databind (74 000 rader kod, 23 författare, 2 committers, 363 öppna frågor);
• guava.git, Googles bibliotek för Java (1 miljon rader kod, 83 författare, 3 committers, 620 öppna frågor);
• commons-codec (51 000 rader kod, 3 författare, 3 committers, 29 öppna frågor);
• commons-io (73 000 rader kod, 10 författare, 6 committers, 148 öppna frågor);
• httpcomponents-client (121 tusen rader kod, 16 författare, 8 bidragsgivare, 47 öppna problem);
• httpcomponents-core (131 tusen rader kod, 15 författare, 4 bidragsgivare, 7 öppna problem);
• logback (154 tusen rader kod, 1 författare, 2 bidragsgivare, 799 öppna problem);
• commons-lang (168 tusen rader kod, 28 författare, 17 bidragsgivare, 163 öppna problem);
• slf4j (38 tusen rader kod, 4 författare, 4 bidragsgivare, 189 öppna problem);

Rapporten behandlar även frågor om standardisering av namngivningsscheman för externa komponenter, skydd av utvecklares konton och stöd för föråldrade versioner efter att nya betydande versioner har skapats. Dessutom har Linux Foundation publicerat ett dokument med praktiska rekommendationer för att organisera en säker utvecklingsprocess för öppna projekt.

Dokumentet behandlar frågor om fördelning av roller i projektet, skapande av team ansvariga för säkerhet, definition av säkerhetspolicy, övervakning av de befogenheter som deltagarna i projektet har, korrekt användning av Git när sårbarheter åtgärdas för att undvika läckor innan fixen publiceras, definition av processer för att reagera på rapporter om säkerhetsproblem, implementering av säkerhetstestningssystem, tillämpning av kodgranskningsprocedurer, och hänsyn till säkerhetsrelaterade kriterier vid skapandet av versioner.

Källa: opennet.ru