Свыше 70% мобильных и десктоп приложений содержат уязвимости информационной безопасности
Фото: Lionel Bonaventure / AFP
Согласно ежегодному отчету Veracode о состоянии безопасности программного обеспечения, библиотеки с открытым исходным кодом, которые обеспечивают быстрое решение прикладных задач для разработчиков – не только легко доступны и интегрируемы, но и опасны.
В исследовании было проанализировано 351 000 внешних библиотек в 85 000 приложениях и выяснилось, что библиотеки с открытым исходным кодом чрезвычайно распространены. Например, большинство приложений JavaScript содержат сотни библиотек с открытым исходным кодом, а некоторые из них имеют более 1000 различных библиотек. Кроме того, большинство языков имеют один и тот же набор основных библиотек.
JavaScript и PHP, в частности, имеют несколько основных библиотек, которые находятся практически в каждом приложении.
следует из сообщения в отчёте
Эти библиотеки, как и другие программы, имеют ошибки информационной безопасности. Проблема заключается в том, что благодаря повторному использованию кода одна ошибка может повлиять на сотни приложений.
На самом деле, было бы почти невозможно разрабатывать инновационные программные продукты без открытых библиотек. Однако, недостаточная осведомленность о том, где и как используются библиотеки с открытым исходным кодом, является проблемным фактором.
Наибольшее количество библиотек с открытым исходным кодом обнаружено в приложениях, написанных на следующих языках: Swift, .NET, Go и PHP.
Swift используется в экосистеме Apple, и имеет самую высокую плотность ИБ-угроз, согласно Veracode. Однако он также имеет низкое количество уязвимых библиотек.
В то же время .NET имеет самый низкий процент угроз в библиотеках, однако самих библиотек там используется в 17 раз больше, чем Swift.
XSS являются наиболее распространенной категорией уязвимостей, обнаруженных в библиотеках с открытым исходным кодом. Они были найдены в 30 процентах библиотек. Далее следуют ИБ-уязвимости из-за небезопасной десериализация (23,5%) и нарушение контроля доступа (20,3%).
Также согласно отчету выяснилось, что большинство уязвимых библиотек попадают в код косвенно – благодаря каскадным взаимозависимостям. Разработчики могут использовать одну библиотеку – но без их ведома библиотека, которую они используют, извлекла код из совершенно другой библиотеки с открытым исходным кодом, чтобы использовать его в своей работе.
