Forschung mit Snyk und Redhunt Labs: Die 1.000 größten Organisationen auf GitHub scannen

Open-Source-Code ist ein wesentlicher Bestandteil der modernen Entwicklung. Er ermöglicht Entwicklerinnen und Entwicklern, den Funktionsumfang ihrer Anwendungen zu erweitern und gleichzeitig die Entwicklungszeit insgesamt zu verkürzen. Doch das System ist nicht perfekt. Die Natur von Drittanbieter-Software und ihren Abhängigkeiten schafft oft Möglichkeiten, dass sich Sicherheitslücken in Bibliotheken und Downloads verbergen.

Eine Lösung für dieses Problem sind Paketmanager. Viele Programmiersprachen wie JavaScript oder Python verfügen über Paketmanager wie npm (Node Package Manager) und pip (Preferred Installer Program). Sie stützen sich auf die jeweils gelesenen Dateien, um zu bestimmen, welche Abhängigkeiten heruntergeladen werden sollen. Ist in einer Abhängigkeit ausdrücklich eine Version angegeben, lädt der Paketmanager diese Version herunter. Die Versionen dieser Abhängigkeiten sind jedoch oft veraltet und können potenzielle Sicherheitslücken enthalten.

In einem aktuellen Forschungsprojekt wollten Snyk und Redhunt Labs mehr über den Sicherheitsstatus beliebter GitHub-Repositories erfahren. Die 1.000 größten Organisationen auf GitHub wurden auf unsichere Abhängigkeiten in ihren Quellcode-Repositories untersucht. Dazu extrahierten die Forschenden die Abhängigkeiten und verglichen deren Versionen mit weithin bekannten Sicherheitslücken, um den Sicherheitsstatus dieser Repositories zu bewerten. Die Ergebnisse für Java-, JavaScript-, Python- und Ruby-Repositories werden im Bericht getrennt dargestellt.

Um sich auf Repositories mit potenziellen Auswirkungen zu konzentrieren, wurden die Repositories anhand der Anzahl ihrer Sterne und bestimmter Schlüsselwörter gefiltert. Insgesamt wurden 11.900 Repositories untersucht und 1.229.601 Sicherheitslücken in 15.584 Dateien mit anfälligen Abhängigkeiten gefunden.

Zu den Ergebnissen zählen:

• Die Deserialisierung nicht vertrauenswürdiger Daten war mit insgesamt 130.831 Vorkommen in Java-Repositories der häufigste Sicherheitslückentyp. Damit entfielen 40 Prozent aller gefundenen Sicherheitslücken auf diesen Typ.

• Prototype Pollution war mit 62 Prozent die häufigste erkannte Sicherheitslücke in JavaScript. Insgesamt enthielten die Repositories 549.566 Sicherheitslücken.

• Unter den 72.082 Sicherheitslücken in den 2.602 Abhängigkeitsdateien der Python-Repositories waren 16.590 als hoch oder kritisch eingestuft.

• Nicht zuletzt waren in Ruby-Repositories 50 Prozent der Sicherheitslücken als kritisch oder hoch eingestuft.

• Die Studie hebt außerdem die zehn Forschenden hervor, die die meisten Sicherheitslücken gemeldet haben.

Laden Sie den Bericht noch heute herunter, um mehr über den Ansatz, die Methodik und die Ergebnisse dieser spannenden Studie mit RedHunt Labs zu erfahren.