👀 Отчет Open Source Security and Risk Analysis от Black Duck

Отчет Black Duck анализирует риски использования открытого программного обеспечения (OSS), на основе аудитов 965 кодовых баз (1,658 проектов) в 16 индустриях за 2024 год.

Вот основные выводы:

⚪️Повсеместность OSS: 97% кодовых баз содержат OSS, в среднем 911 компонентов на приложение. Число OSS-файлов утроилось за последние 4 года, 64% компонентов — транзитивные зависимости.

⚪️Уязвимости: 86% кодовых баз имеют уязвимости, 81% — с высоким или критическим риском. Топ-компоненты с уязвимостями: jQuery (32% кодовых баз), Spring Framework, jackson-databind. 71% уязвимостей связаны с неправильной валидацией ввода (CWE-79).

⚪️Лицензирование: 56% кодовых баз имеют конфликты лицензий, 33% используют OSS без лицензии или с кастомными лицензиями. Транзитивные зависимости вызывают 30% конфликтов. Топ-лицензии: MIT (92%), Apache 2.0 (90%).

⚪️Устаревшие компоненты: 90% кодовых баз содержат OSS, отстающий более чем на 4 года, 91% — на 10 версий. 91% компонентов не обновлялись последние 2 года, что увеличивает риски.

⚪️Индустриальные риски: высокий риск уязвимостей в Internet and Mobile Apps (100%), Marketing Tech (88%), EdTech (86%). Лицензионные конфликты чаще в EdTech, Big Data, FinTech (71%).

⚪️SBOM и SCA: Software Bill of Materials (SBOM) и Software Composition Analysis (SCA) — ключевые инструменты для управления рисками, повышения прозрачности и соответствия лицензиям.

Рекомендации:

— Использовать SCA для создания SBOM и управления уязвимостями.
— Регулярно обновлять OSS, особенно jQuery.
— Применять практики безопасной разработки (валидация ввода, тестирование).
— Мониторить состояние компонентов через автоматизированные инструменты.
— Проводить аудиты перед M&A для оценки рисков.

Полный отчет во вложении. Пользуйтесь и делитесь с коллегами 🫡

@DevOpsKaz 😛