Aggiornamenti recenti Marzo 18th, 2024 2:00 PM
Mag 26, 2020 Marco Schiaffino In evidenza, News, RSS, Scenario, Vulnerabilità 0
L’adozione della filosofia open source nella programmazione offre innumerevoli vantaggi, ma anche qualche problema. Uno di più importanti riguarda la sicurezza.
A confermarlo è una ricerca condotta da Veracode, che si concentra sull’utilizzo delle librerie open source nella creazione di applicazioni mobile e desktop. Il risultato dello studio è sconfortante: il 70% dei software si “porta dietro” bug e vulnerabilità.
Il report, che prende in esame più di 85.000 applicazioni e 351.000 librerie, evidenzia un fenomeno che i programmatori conoscono benissimo: l’uso intensivo di librerie open source per la creazione del codice delle applicazioni.
Qual è il problema? Principalmente il fatto che una simile ragnatela di relazioni tra i vari software rende pressoché impossibile verificare se i componenti utilizzati siano afflitti da vulnerabilità. A ogni passaggio della filiera, infatti, il livello di controllo si assottiglia fino ad arrivare a una situazione in cui le procedure di patching diventano pressoché impossibili.
Secondo gli autori del report, un semplice JavaScript può arrivare a utilizzare centinaia di librerie esterne, che vengono semplicemente integrate senza troppi controlli. A rendere le cose ancora più complicate, c’è il fatto che spesso sono disponibili varie versioni e che gli autori non sempre utilizzano una sintassi univoca per indicare il livello di aggiornamento.
D’altra parte, gli stessi ricercatori fanno notare come l’utilizzo di librerie per le funzioni base delle applicazioni sia uno dei tasselli fondamentali per consentire la creazione di funzionalità avanzate e rappresenti ormai un modo di lavorare che non ha alternative.
Da un punto di vista statistico, gli analisti di Veracode segnalano che l’utilizzo delle librerie varia a seconda del linguaggio utilizzato e, allo stesso modo, varia la quantità di bug presenti al loro interno.
I linguaggi in cui c’è una presenza maggiore di bug sono Swift; PHP; .NET e Go. Dal punto di vista della tipologia di vulnerabilità, la più diffusa sarebbe la classica XXS (Cross Site Scripting) seguita da bug nel sistema di accesso.
Il dato più preoccupante, però, è che per il 20% circa delle vulnerabilità sono disponibili dei Proof of Concept (PoC) che consentono di sfruttare un exploit. In altre parole: i pirati informatici non devono nemmeno fare la fatica di sviluppare una tecnica di attacco. Possono “pescarla” tra quelle disponibili.
Secondo i ricercatori, infine, quella delle librerie open source rappresenterebbe una vera “zona d’ombra” per quanto riguarda la ricerca delle vulnerabilità.
La buona notizia è che i bug in questione non sarebbero così “profondi” da richiedere interventi particolarmente impegnativi. Insomma: secondo gli autori sarebbe sufficiente una normale attività di verifica e una maggiore attenzione nella scelta dei componenti di codice in fase di sviluppo. Più facile a dirsi che a farsi.
Mar 12, 2024 0
Feb 23, 2024 0
Ott 03, 2023 0
Ott 02, 2023 0
Mar 18, 2024 0
Mar 18, 2024 0
Mar 15, 2024 0
Mar 15, 2024 0
Mar 15, 2024 0
Dopo alcuni mesi dalla sua scoperta, Tomer Peled,...Mar 15, 2024 0
Sempre più aziende stanno scegliendo Kubernetes (K8s) per...Mar 13, 2024 0
Negli ultimi anni il ruolo del CISO (Chief Information...Feb 29, 2024 0
Secondo la ricerca “Connecting the future of...Feb 28, 2024 0
Secondo l’ultimo sondaggio di Check Point, fornitore...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Mar 18, 2024 0
F.A.C.C.T, agenzia russa di cybersecurity, ha denunciato...Mar 18, 2024 0
Il team di SonicWall Capture Labs ha scoperto di recente...Mar 15, 2024 0
Dopo alcuni mesi dalla sua scoperta, Tomer Peled,...Mar 14, 2024 0
I ricercatori di FortiGuard Labs hanno scoperto una...Mar 14, 2024 0
I ricercatori di SaltSecurity hanno individuato due...