Уязвимости в проектах open-source годами остаются незамеченными

Уязвимости в проектах open-source годами остаются незамеченными

Уязвимости в проектах open-source годами остаются незамеченными

Создавая программы для бизнеса, разработчики все больше полагаются на компоненты с открытым исходным кодом. Проведенное в GitHub исследование показало, что современные приложения могут на 80% состоять из зависимостей, поэтому безопасность последних особенно важна. К сожалению, уязвимости в кодах, связанных зависимостью, выявляются в основном случайно и могут просуществовать без внимания более четырех лет.

Инструментарий на GitHub позволяет быстро оповещать разработчиков о новых брешах в проектах open-source и наличии патчей, но проблема детектирования таких нарушений безопасности сильно тревожит операторов сервиса. Чтобы определить масштабы бедствия, исследователи изучили (PDF) содержимое 45 тыс. открытых репозиториев, активных как минимум два года — с октября 2018-го по сентябрь текущего.

Найденные связные компоненты были разделены на пять групп в зависимости от языка, на котором они написаны (PHP, Java, JavaScript, .NET, Python и Ruby). Как оказалось, чаще всего разработчики используют сторонние библиотеки JavaScript (94% приложений), Ruby и .NET (по 90%).

Темпы латания брешей в пакетах open-source оказались приемлемыми: участники сообщества закрывают их в течение месяца, и пользователи, получив извещение, обычно успевают за неделю внести исправления в свой продукт. Однако далеко не все оповещения GitHub заслуживают пристального внимания — в 83% случаев предметом алерта оказалась ошибка, не составляющая угрозу безопасности. Остальные предупреждения были оправданными: в open-source объявилась уязвимость (или бэкдор). К сожалению, такие проблемы в основном находят в заброшенных или редко используемых проектах.

Исправить ситуацию, по мнению исследователей, можно лишь объединенными усилиями разработчиков, операторов хранилищ и пользователей. Все они должны регулярно проверять зависимости в коде на уязвимость, а также расширять использование средств автоматизации оповещений и патчинга связных кодов — по данным GitHub, это поможет ускорить латание дыр в приложениях в 1,4 раза.

Из брешей, зафиксированных в 2020 году, наиболее опасными исследователи сочли Curveball (CVE-2020-0601), SMBGhost (CVE-2020-0796) и Zerologon (CVE-2020-1472). Эти уязвимости затронули большое количество разработок и поставили под угрозу множество оконечных устройств и корпоративных сетей.

С точки зрения патчинга весьма неприятна также CVE-2020-8203 в npm-пакете lodash, которая позволяет внести нежелательные изменения в прототип объекта JavaScript. Исследование показало, что сценарий lodash пользуется большой популярностью у разработчиков бизнес-программ, и появление CVE-2020-8203 вызвало более пяти млн алертов, запущенных с помощью бота GitHub.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

ОРИ будут хранить данные три года вместо одного

С 1 января 2026 года организаторы распространения информации (ОРИ) будут обязаны хранить метаданные о пользователях в течение трех лет вместо одного, как предусмотрено действующими правилами. Нововведение объясняется необходимостью усиления борьбы с мошенничеством и другими киберпреступлениями.

С нового года ОРИ должны будут сохранять метаданные о переписках пользователей российского сегмента интернета на срок до трех лет. Это требование закреплено в постановлении правительства №1698, подписанном премьер-министром Михаилом Мишустиным 30 октября.

Документ был опубликован на официальном портале нормативных актов лишь вечером 5 ноября.

Постановление распространяется на регистрационные данные пользователей, сведения об авторизации и ряд других категорий, перечисленных в документе. Эти данные ОРИ обязаны предоставлять правоохранительным органам по запросу.

За нарушение требований предусмотрены штрафы до 6 млн рублей и иные меры воздействия, включая возможную блокировку ресурсов. Именно неисполнение подобных требований ранее стало формальным основанием для блокировки Viber.

Как сообщили в Минцифры в ответ на запрос «Коммерсанта», увеличение срока хранения метаданных направлено на противодействие онлайн-мошенничеству:

«Увеличение этого срока позволит создать более эффективную систему для расследования и пресечения преступлений, таких как мошенничество, киберпреступность и другие противоправные действия».

В то же время исполнение новых требований потребует от компаний значительных расходов. По оценке генерального директора Института исследования интернета Карена Казаряна, совокупные затраты могут составить несколько миллиардов рублей.

Генеральный директор хостинговой компании RUVDS Никита Цаплин отметил, что для бизнеса это может означать до 5% от оборота, и компании, вероятно, будут вынуждены компенсировать эти расходы за счет клиентов и партнеров.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru