美國新思科技公司 (Synopsys, Nasdaq: SNPS )近日發(fā)布了《2018 年開源代碼安全和風險分析》(OSSRA)報告。該報告分析了2017年經(jīng)過審計的1,100多個商業(yè)代碼庫中的匿名數(shù)據(jù),研究的行業(yè)包括汽車、大數(shù)據(jù)、網(wǎng)絡安全、企業(yè)軟件、金融服務、 醫(yī)療保健、物聯(lián)網(wǎng)(IoT)、制造業(yè)和移動應用市場。該報告的審計數(shù)據(jù)由黑鴨子軟件公司(Black Duck Software)收集和整合。新思科技已于2017年12月完成對黑鴨子軟件公司的收購。
該報告突出顯示了開源代碼的使用量持續(xù)大幅增長,其中96% 被掃描應用中存在開源組件。數(shù)據(jù)還顯示在每個代碼庫中平均有 257個開源組件,比2017年的報告數(shù)據(jù)增長了75%,F(xiàn)在許多應用中包含的開源代碼多于專有代碼。令人擔憂的是,78% 被檢查的代碼庫中至少包含一個漏洞,每個代碼庫平均包含 64個漏洞。這些代碼庫的漏洞中,超過 54% 被認為屬于高風險漏洞。17%的代碼庫包含某種 常見漏洞,如 Heartbleed、Logjam、 Freak、Drown 和 Poodle。
黑鴨子軟件公司技術專員Tim Mackey表示:“現(xiàn)在的軟件和基礎設施在很大程度上依賴開源技術,對使用的組件有一個清晰的認知是企業(yè)管理的關鍵。報告清楚地表明隨著開源代碼使用量的增長,企業(yè)必須確保他們擁有能夠在開源組件中檢測漏洞的工具,并且管理使用開源代碼過程中可能需要的任何許可證合規(guī)性。”
在每個行業(yè)的應用中都發(fā)現(xiàn)了存在漏洞的開源組件;ヂ(lián)網(wǎng)和軟件基礎設施垂直行業(yè)的應用存在高風險開源漏洞的比例最高,為67%。比較諷刺的是,網(wǎng)絡安全行業(yè)仍然被發(fā)現(xiàn)存在很高比例的高風險開源漏洞,高達41 %,導致該垂直行業(yè)處于風險第四高的位置。
除此之外, 被審計代碼庫中發(fā)現(xiàn)包含 Apache Struts(用于創(chuàng)建 Web 應用的開源框架),而在這之中,有 33%含有導致 Equifax 入侵事件的Struts 漏洞。報告明確指出越來越多的漏洞在企業(yè)代碼庫中積累。平均而言,審計中發(fā)現(xiàn)的漏洞大約在 6 年前已經(jīng)被披露。
黑鴨子軟件公司負責OSSRA報告的產(chǎn)品市場經(jīng)理Evan Klein表示:“當Equifax由于Apache Struts漏洞被入侵發(fā)生重大數(shù)據(jù)泄露時,開源安全性管理需求成為 2017 年的頭版新聞。盡管它在2017年3月被披露,許多企業(yè)顯然仍未檢查他們的應用程序是否存在Struts漏洞。”
調(diào)查結果顯示,74%被審計代碼庫中包含存在許可證沖突的組件,其中最常見的是 GPL (GNU 通用公共許可證)許可證違規(guī)。存在許可證沖突的應用在各個行業(yè)分布情況不盡相同:零售和電子商務行業(yè)為61%,而在電信和無線行業(yè)則很高 -- 100% 被掃描代碼都存在某種形式的開源許可沖突。
下載OSSRA報告,請點擊:https://www.synopsys.com/content/dam/synopsys/china/software-integrity/reports/2018-ossra-sc.pdf