Il numero di pacchetti dannosi nell’ecosistema open source è aumentato in modo significativo nell’ultimo anno, come evidenziato da un nuovo rapporto di Sonatype. Gli esperti hanno notato che il numero di componenti dannosi caricati intenzionalmente in repository open source è aumentato di oltre il 150% rispetto all’anno precedente.
Il software open source, basato su un processo di sviluppo trasparente con la possibilità per chiunque di contribuire, è la base della maggior parte delle moderne tecnologie digitali. Il rapporto Sonatype ha analizzato più di 7 milioni di progetti, di cui oltre 500mila contenenti componenti dannosi.
I problemi con le vulnerabilità nei pacchetti open source e le difficoltà incontrate dagli sviluppatori nel supportarli sono diventati un vero problema negli ultimi anni a causa di una serie di gravi attacchi informatici e di vulnerabilità identificate. Un esempio è stato il recente incidente che ha coinvolto lo strumento di compressione dati XZ Utilis. Da anni i criminali informatici cercano di introdurre vulnerabilità in strumenti diffusi in modo che finisca su numerosi server in tutto il mondo.
 Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected].
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Come notano gli esperti, il problema non risiede solo negli attacchi stessi, ma anche nell’approccio degli editori e dei consumatori di soluzioni open source.
Nella fretta di rilasciare rapidamente nuove versioni e funzionalità, la sicurezza viene spesso trascurata. Di conseguenza, le vulnerabilità critiche rimangono irrisolte per molto tempo. È noto, ad esempio, che anche anni dopo la scoperta del problema nel componente Log4Shell, circa il 13% dei suoi download contiene ancora versioni vulnerabili.
In media, sono necessari fino a 500 giorni per correggere le vulnerabilità critiche, un periodo significativamente più lungo rispetto al precedente periodo di 200-250 giorni. I bug meno gravi richiedono ancora più tempo per essere risolti: in alcuni casi questo processo richiede più di 800 giorni, sebbene in precedenza tali periodi raramente superassero i 400 giorni.
Questi dati mostrano che la catena di fornitura del software ha raggiunto un punto critico in cui le risorse degli editori semplicemente non riescono a tenere il passo con il crescente numero di vulnerabilità. Inoltre, ciascun ecosistema di programmazione ha le proprie caratteristiche, il che rende difficile garantirne la protezione.
Ad esempio, negli ultimi anni il gestore pacchetti Node.js ha registrato un forte aumento dei pacchetti dannosi legati allo spam e alle criptovalute.
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Cyber Italia
Cyber Italia
Cybercrime
Cyber Italia
Cyber Italia