Il mondo IT si sta interessando sempre di più a soluzioni open-source, ma, come sempre, più una cosa è utilizzata, più le insidie si fanno frequenti e reali.

Questo è quanto emerge da un recente report pubblicato da WhiteSource, piattaforma che si occupa di sicurezza in ambito open-source, e che dichiara che nel corso dello scorso anno le vulnerabilità presenti nel codice di software open sono aumentate quasi del 50%.

Il report è stato generato partendo dai dati forniti dal National Vulnerability Database (repository di gestione delle vulnerabilità basati su standard del governo statunitense), da security advisories, issue tracker ed altri svariati database. Dalle poco più di 4000 vulnerabilità dell’anno 2018, si è passati alle oltre 6000 del 2019.

Un dato negativo? Assolutamente no!

Non è solo l’open-source che sta prendendo largamente piede ma anche la consapevolezza dei problemi legati alla sicurezza sta aumentando e sempre più aziende/team danno “caccia” a bug e vulnerabilità.

WhiteSource infatti segnala che:

• Oltre l’85% delle falle viene reso pubblico… ma il fix esiste già;
• Solo l’84% di quelle conosciute compare effettivamente anche nell’NDV, alcune anche mesi dopo la loro pubblicazione;
• C detiene il primato di vulnerabilità (30%), seguito a ruota da PHP (27%) e Java (15%).

Per la precisione parliamo di:

• XSS – cross-site scripting flaws – vulnerabilità generata da controlli non adeguati sugli input ricevuti (Java, PHP, Pyhton);
• Cattiva gestione della memoria (C).

Cosa causa tutta questa confusione su chi trova cosa e come gestirlo? Il fatto che le informazioni riguardo alle vulnerabilità non siano pubblicate in un unico posto ma siano sparse sul web, spesso anche in posti praticamente sconosciuti ai più.

Ultima nota di WhiteSource, forse l’unica dolente, è il la causa più frequente di questi buchi: banali errori ed imprecisioni nel codice perché non ci si attiene agli standard. Del resto però, nessuno è perfetto!

Elena Metelli

Affascinata sin da piccola dai computer (anche se al massimo avevo un cluster di Mio Caro Diario), sono un’opensourcer per caso, da quando sono incappata in Mandrake. Legacy dentro. Se state leggendo un articolo amarcord, probabilmente l’ho scritto io.