Tính bảo mật của các dự án nguồn mở đã trở thành một vấn đề. Lỗ hổng trong các dự án nguồn mở phổ biến đã tăng hơn gấp đôi so với cùng kỳ năm 2019.

Tiêu đề gốc: "Lỗ hổng trong các dự án nguồn mở phổ biến đã tăng hơn gấp đôi vào năm 2019"

Nguồn gốc: Mã nguồn mở Trung Quốc

RiskSense  đã phát hành một báo cáo mới cung cấp những phát hiện chuyên sâu về các lỗ hổng trong phần mềm nguồn mở phổ biến hiện nay, bao gồm số lượng lỗ hổng được vũ khí hóa, phần mềm nào dễ bị đe dọa nhất , các loại tấn công chính, v.v.

Báo cáo không bao gồm Linux, WordPress, Drupal và các dự án siêu phổ biến khác thường được theo dõi. Thay vào đó, chúng tôi đã xem xét một số dự án nguồn mở phổ biến khác không được công chúng biết đến nhiều nhưng được cộng đồng công nghệ và phần mềm áp dụng rộng rãi, bao gồm Jenkins, MongoDB, Elaticsearch, Chef, GitLab, Spark, Puppet, v.v.  

RiskSense đã xem xét 50 dự án phần mềm nguồn mở phổ biến nhất và nhận thấy:

Các lỗ hổng trải rộng trên tất cả các giai đoạn phát triển hiện đại từ phát triển/thử nghiệm, điều phối, bộ chứa và khối lượng công việc Nguồn mở đang được tạo ra với tốc độ chưa từng có Lỗ hổng bảo mật mới Lỗ hổng quốc gia Danh sách cơ sở dữ liệu (NVD) bị tụt lại phía sau khi nói đến các lỗ hổng phần mềm nguồn mở - đặc biệt đối với những lỗ hổng có mức độ nghiêm trọng CVSS cao nhất.  

Kết quả báo cáo cho thấy những phần mềm nguồn Tổng số lỗ hổng đã tăng hơn gấp đôi vào năm 2019, tăng từ 421 năm 2018 lên 968 vào năm ngoái. Nó cũng chỉ ra rằng thời gian cần thiết để bổ sung các lỗ hổng phần mềm nguồn mở vào Cơ sở dữ liệu dễ bị tổn thương quốc gia (NVD) là rất dài, mất trung bình 54 ngày kể từ khi tiết lộ công khai cho đến khi đưa vào. Sự chậm trễ này có thể khiến các tổ chức phải đối mặt với rủi ro bảo mật ứng dụng nghiêm trọng trong gần hai tháng. Và độ trễ kéo dài này tồn tại đối với tất cả các cấp độ lỗ hổng, bao gồm cả những cấp độ được đánh giá là "nghiêm trọng" và những cấp độ đã được trang bị vũ khí.

Giám đốc điều hành của RiskSense Srinivas Mukkamala cho biết: “Mặc dù mã nguồn mở thường được coi là an toàn hơn phần mềm thương mại vì nó được huy động nguồn lực cộng đồng để xem xét nhằm tìm ra vấn đề, nhưng nghiên cứu này cho thấy các lỗ hổng phần mềm nguồn mở đang gia tăng và có thể trở thành điểm mù đối với nhiều người. các tổ chức. "Bởi vì mã nguồn mở ngày nay được sử dụng và tái sử dụng ở khắp mọi nơi, nên khi phát hiện ra các lỗ hổng, chúng có thể gây ra những hậu quả vô cùng sâu rộng."

Các phát hiện khác bao gồm rằng máy chủ tự động hóa Jenkins có nhiều CVE nhất nói chung, với 646. Theo sát phía sau là MySQL với 624. Đồng thời, hai dự án phần mềm nguồn mở cũng có 15 lỗ hổng được vũ khí hóa. Để so sánh, Vagrant của HashiCorp chỉ có tổng cộng 9 CVE nhưng chứa 6 lỗ hổng được vũ khí hóa.

Ngoài ra, còn có một số lỗ hổng phổ biến trong Apache Tomcat, Magento, Kubernetes, Elaticsearch và JBoss . Các lỗ hổng kịch bản chéo trang (XSS) và xác thực đầu vào là một trong những lỗ hổng phổ biến nhất và được vũ khí hóa nhiều nhất trong nghiên cứu.

Toàn văn báo cáo: https :// info.risksense.com/open-source-spotlight-report-pr

Địa chỉ bài viết này: https://www.ithome.com/0/491/787.htm

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia