开源漏洞有时长达4年以上才被发现

有时无法检测到开源软件中的安全漏洞 超过四年。 这是最新的《八度宇宙》报告的主要发现之一 GitHub软件开发托管和管理平台。

这个说法并不完全正确, 因为 基于技术进步 以及近年来许多大公司和开发人员加入开源软件的事实,这使得开发,测试工具的创建,尤其是漏洞检测方面的发展日渐加速。

尽管仍然是现实,但资金不足 (导致人力资源减少) 在大多数情况下是搜索的障碍 并发现这些漏洞。

例如,流血就是一个漏洞 密码库中存在的软件 自2012年XNUMX月起使用OpenSSL。 允许攻击者读取服务器或客户端的内存以恢复与传输层安全协议(TLS)通信期间使用的内存。 直到2014年2014月,才发现影响许多Internet服务的漏洞,并于XNUMX年XNUMX月公开。该漏洞为黑客提供了两年的时间来攻击数千台服务器。

据称该漏洞被错误地存储在OpenSSL存储库中 遵循自愿开发人员的建议,以修复错误和改进功能。

这种类型的缺陷 (错误输入) 占项目中发现的83% 托管在GitHub上的开源。 但是,最新的八度宇宙状态报告 指出17%是恶意第三方故意引入的漏洞.

这些数字应该由最近的Risksense报告加以补充,该报告强调开源软件中的缺陷正在不断增长。 IT项目越来越基于开源,这解释了黑客对该领域的兴趣日益浓厚。

漏洞可能会对您的工作造成破坏,并导致大规模的安全问题。 但是,大多数漏洞是由错误引起的,而不是恶意攻击。

通过在可能的情况下依靠开源,您的团队可以从社区发现和修复的所有修补程序中受益。 补救时间是所有DevOps团队的重要组成部分

融资模式 来自开源领域 是最有可能解释为什么软件漏洞的因素之一 在如此重要的时刻,他们没有引起注意。 中央基础设施计划(CII)是为互联网和其他大型信息系统的运行必不可少的,资助和支持免费和开源软件项目的少数项目之一。

GitHub上的大多数项目都基于开源软件。 该分析包括了开源公共存储库,该存储库在10.1.2019年30.09.2020月XNUMX日至XNUMX年XNUMX月XNUMX日之间每月至少有一个贡献。

后者是继数百万个网站使用的OpenSSL严重Heartbleed漏洞之后的公告主题。 问题:CII依靠专有软件领域中知名企业的贡献。 Facebook,VMWare,Microsoft,Comcast和Oracle(仅列出这些公司)为Linux基金会提供资金,因此也开展了诸如Central Infrastructure Initiative(CII)之类的项目。

这使他们在各个决策委员会中都有席位,因此可以控制开源领域中发生的事情。 openSUSE董事会前成员Bryan Lunduke更加详细地讨论了这种情况。

直接后果是 受益于资金的开源项目 是其基础结构主要基于的那些。

最后, 如果您有兴趣了解更多信息,您可以访问以下网站,在其中可以找到收集的报告。

链接是这个。


本文内容遵循我们的原则 编辑伦理。 要报告错误,请单击 信息.

成为第一个发表评论

发表您的评论

您的电子邮件地址将不会被发表。

*

*

  1. 负责数据:MiguelÁngelGatón
  2. 数据用途:控制垃圾邮件,注释管理。
  3. 合法性:您的同意
  4. 数据通讯:除非有法律义务,否则不会将数据传达给第三方。
  5. 数据存储:Occentus Networks(EU)托管的数据库
  6. 权利:您可以随时限制,恢复和删除您的信息。

布尔值(true)