传递依赖占bug的95%

Endor Labs的一份新报告指出，几乎所有(95%)开源漏洞都存在于可传递或间接依赖关系中，该报告强调了在这些环境中补救的挑战。

为了更好地理解开源环境中依赖关系的安全影响，Endor Labs分析了Census II报告，其中包含了当今应用程序中使用的最流行的开源组件列表。

它对1833个包进行了描述，并从其他来源(包括图书馆)获取了数据。io、Maven和Maven Central编译依赖管理状态报告。

作为一种加快上市时间的方式，开源越来越受到开发人员的青睐。

然而，正如报告所解释的那样，DevOps团队实际上只选择了一小部分(5%)所谓的软件依赖项。大多数被自动拉入代码库，称为传递依赖/间接依赖。

这可能会增加额外的风险，如果它们没有全部映射，任何相关的错误都得到了补救。

Endor Labs联合创始人兼首席执行官Varun Badhwar表示:“在这种环境下，开源软件是我们关键基础设施的支柱，但即使是资深开发人员和高管也经常惊讶地发现，现代应用程序中80%的代码来自现有的OSS。”

这是一个巨大的舞台，但它在很大程度上被忽视了。来自第9站的第一份报告清楚地说明了这方面问题的严重性，以及实质性解决办法的必要性。如果开放源代码的重用要发挥它的潜力，那么安全需要移到优先级列表的首位。

报告显示，普查II中列出的一半(50%)软件包甚至在2022年都没有发布，30%的软件包在2018年进行了最后一次更新，这表明它们更有可能包含未修复的漏洞。

报告称，即使开发人员使用最新版本的开源包，也有32%的几率包含漏洞。

报告认为，可达性是优先考虑可传递漏洞的最重要标准，因为这是利用的前兆。

Sonatype在2022年早些时候发布的另一份报告称，在过去一年中，影响开源项目的每7个错误中就有6个是由可传递依赖造成的。