Ticari uygulamaların %75'i, güvenlik açıkları içeren güncelliğini kaybetmiş açık kaynak kodu içeriyor

Özet Şirketi analiz edildi 1253 ticari kod tabanı incelendi ve incelenen ticari uygulamaların neredeyse tamamının (%99) en az bir açık kaynak bileşeni içerdiği ve incelenen depolardaki kodun %70'inin açık kaynak olduğu sonucuna varıldı. Karşılaştırma yapmak gerekirse, 2015 yılında yapılan benzer bir çalışmada açık kaynağın payı %36 idi.

Ancak çoğu durumda, kullanılan üçüncü taraf açık kaynak kodu güncellenmez ve potansiyel güvenlik sorunları içerir - incelenen kod tabanlarının %91'i, 5 yıldan uzun süredir güncellenmeyen veya terk edilmiş bir biçimde olan açık bileşenlere sahiptir. en az iki yıldır ve geliştiriciler tarafından sürdürülmemektedir. Sonuç olarak, depolarda tanımlanan açık kaynak kodlarının %75'i, yarısı yüksek düzeyde tehlike içeren, yama yapılmamış bilinen güvenlik açıkları içeriyor. 2018 örneğinde güvenlik açığı bulunan kodların payı %60'tı.

En yaygın tehlikeli güvenlik açığı şuydu:
sorun CVE-2018-16487 (uzaktan kod yürütme) kütüphanede Lodash Node.js için güvenlik açığı bulunan sürümleriyle 500'den fazla kez karşılaşıldı. Yama yapılmamış en eski güvenlik açığı lpd arka plan programındaki bir sorundu (CVE-1999-0061), 1999'da revize edildi.

Ticari projelerin kod tabanlarında güvenliğin yanı sıra, ücretsiz lisans şartlarına uyum konusunda da ihmalkar bir tutum var.
Kod tabanlarının %73'ünde açık kaynak kullanımının yasallığıyla ilgili sorunlar bulundu; örneğin uyumsuz lisanslar (genellikle GPL kodu, türev ürün açılmadan ticari ürünlere dahil edilir) veya kodun lisans belirtilmeden kullanılması. Lisans sorunlarının %93'ü web ve mobil uygulamalarda yaşanıyor. Oyunlarda, sanal gerçeklik sistemlerinde, multimedya ve eğlence programlarında vakaların %59'unda ihlaller fark edildi.

Toplamda, çalışma tüm kod tabanlarında yaygın olarak kullanılan 124 tipik açık bileşen belirledi. En popüler olanlar: jQuery (%55), Bootstrap (%40), Font Awesome (%31), Lodash (%30) ve jQuery UI (%29). Programlama dilleri açısından en popüler olanları JavaScript (projelerin %74'ünde kullanılır), C++ (%57), Shell (%54), C (%50), Python (%46), Java (%40), TypeScript (%36), C# (%36); Perl (%30) ve Ruby (%25). Programlama dillerinin toplam payı:
JavaScript (%51), C++ (%10), Java (%7), Python (%7), Ruby (%5), Go (%4), C (%4), PHP (%4), TypeScript ( %4), C# (%3), Perl (%2) ve Shell (%1).

Kaynak: opennet.ru