Bug nel 70% delle applicazioni a causa delle librerie open source

Mag 26, 2020 Marco Schiaffino In evidenza, News, RSS, Scenario, Vulnerabilità 0

L’uso intensivo di librerie “aperte” e il riutilizzo del codice contribuisce a diffondere le falle di sicurezza in migliaia di applicazioni.

L’adozione della filosofia open source nella programmazione offre innumerevoli vantaggi, ma anche qualche problema. Uno di più importanti riguarda la sicurezza.

A confermarlo è una ricerca condotta da Veracode, che si concentra sull’utilizzo delle librerie open source nella creazione di applicazioni mobile e desktop. Il risultato dello studio è sconfortante: il 70% dei software si “porta dietro” bug e vulnerabilità.

Il report, che prende in esame più di 85.000 applicazioni e 351.000 librerie, evidenzia un fenomeno che i programmatori conoscono benissimo: l’uso intensivo di librerie open source per la creazione del codice delle applicazioni.

Qual è il problema? Principalmente il fatto che una simile ragnatela di relazioni tra i vari software rende pressoché impossibile verificare se i componenti utilizzati siano afflitti da vulnerabilità. A ogni passaggio della filiera, infatti, il livello di controllo si assottiglia fino ad arrivare a una situazione in cui le procedure di patching diventano pressoché impossibili.

Secondo gli autori del report, un semplice JavaScript può arrivare a utilizzare centinaia di librerie esterne, che vengono semplicemente integrate senza troppi controlli. A rendere le cose ancora più complicate, c’è il fatto che spesso sono disponibili varie versioni e che gli autori non sempre utilizzano una sintassi univoca per indicare il livello di aggiornamento.

D’altra parte, gli stessi ricercatori fanno notare come l’utilizzo di librerie per le funzioni base delle applicazioni sia uno dei tasselli fondamentali per consentire la creazione di funzionalità avanzate e rappresenti ormai un modo di lavorare che non ha alternative.

Da un punto di vista statistico, gli analisti di Veracode segnalano che l’utilizzo delle librerie varia a seconda del linguaggio utilizzato e, allo stesso modo, varia la quantità di bug presenti al loro interno.

I linguaggi in cui c’è una presenza maggiore di bug sono Swift; PHP; .NET e Go. Dal punto di vista della tipologia di vulnerabilità, la più diffusa sarebbe la classica XXS (Cross Site Scripting) seguita da bug nel sistema di accesso.

Il dato più preoccupante, però, è che per il 20% circa delle vulnerabilità sono disponibili dei Proof of Concept (PoC) che consentono di sfruttare un exploit. In altre parole: i pirati informatici non devono nemmeno fare la fatica di sviluppare una tecnica di attacco. Possono “pescarla” tra quelle disponibili.

Secondo i ricercatori, infine, quella delle librerie open source rappresenterebbe una vera “zona d’ombra” per quanto riguarda la ricerca delle vulnerabilità.

La buona notizia è che i bug in questione non sarebbero così “profondi” da richiedere interventi particolarmente impegnativi. Insomma: secondo gli autori sarebbe sufficiente una normale attività di verifica e una maggiore attenzione nella scelta dei componenti di codice in fase di sviluppo. Più facile a dirsi che a farsi.

Condividi l'articolo