75% комерційних програм включають застарілий відкритий код з уразливістю

Компанія Synopsys проаналізувала 1253 комерційних кодових баз і дійшла висновку, що майже всі (99%) розглянуті комерційні програми включає як мінімум один компонент з відкритим вихідним кодом, а 70% коду в розглянутих репозиторіях є відкритим. Для порівняння в аналогічному дослідженні 2015 року частка відкритого коду складала 36%.

При цьому в більшості випадків використаний сторонній відкритий код не оновлюється і містить потенційні проблеми з безпекою - у 91% з розглянутих кодових баз є відкриті компоненти, які не оновлювалися більше 5 років або щонайменше два роки перебувають у занедбаній формі і не супроводжуються розробниками. Як наслідок, у 75% виявленого в репозиторіях відкритого коду є невиправлені відомі вразливості, з яких половина має високий рівень небезпеки. При вибірці за 2018 рік частка коду з уразливістю становила 60%.

Найчастіше зустрічається небезпечною вразливістю стала
проблема CVE-2018-16487 (віддалене виконання коду) у бібліотеці лодаш для Node.js, вразливі версії з якою зустрілися понад 500 разів. Найбільш старою невиправленою вразливістю стала проблема в демоні lpd (CVE-1999-0061), виправлена ​​у 1999 році.

Окрім безпеки в кодових базах комерційних проектів також спостерігається недбале ставлення до дотримання умов вільних ліцензій.
У 73% кодових баз знайдено проблеми з легальністю використання відкритого коду, наприклад, несумісності ліцензій (зазвичай, GPL-код включається до складу комерційних продуктів без відкриття похідного продукту) чи використання коду без зазначення ліцензії. 93% усіх проблем з ліцензіями виявляються в мережевих та мобільних додатках. В іграх, системах віртуальної реальності, мультимедійних та розважальних програмах порушення помічені у 59% випадків.

Всього в ході дослідження виділено 124 типові відкриті компоненти, які зазвичай використовуються у всіх кодових базах. Найбільш популярні з них: jQuery (55%), Bootstrap (40%), Font Awesome (31%), Lodash (30%) та jQuery UI (29%). У розрізі мов програмування найбільш популярними є JavaScript (використовується в 74% проектів), C++ (57%), Shell (54%), C (50%), Python (46%), Java (40%), TypeScript (36%) ), C # (36%); Perl (30%) та Ruby (25%). Загальна частка мов програмування становить:
JavaScript (51%), C++ (10%), Java (7%), Python (7%), Ruby (5%), Go (4%), C (4%), PHP (4%), TypeScript ( 4%), C# (3%), Perl (2%) та Shell (1%).

Джерело: opennet.ru