Allarme Open Source. Il punto di non ritorno è superato. +150% di Pacchetti Dannosi in Un Anno

Redazione RHC : 15 Ottobre 2024 07:08

Il numero di pacchetti dannosi nell’ecosistema open source è aumentato in modo significativo nell’ultimo anno, come evidenziato da un nuovo rapporto di Sonatype. Gli esperti hanno notato che il numero di componenti dannosi caricati intenzionalmente in repository open source è aumentato di oltre il 150% rispetto all’anno precedente.

Il software open source, basato su un processo di sviluppo trasparente con la possibilità per chiunque di contribuire, è la base della maggior parte delle moderne tecnologie digitali. Il rapporto Sonatype ha analizzato più di 7 milioni di progetti, di cui oltre 500mila contenenti componenti dannosi.

I problemi con le vulnerabilità nei pacchetti open source e le difficoltà incontrate dagli sviluppatori nel supportarli sono diventati un vero problema negli ultimi anni a causa di una serie di gravi attacchi informatici e di vulnerabilità identificate. Un esempio è stato il recente incidente che ha coinvolto lo strumento di compressione dati XZ Utilis. Da anni i criminali informatici cercano di introdurre vulnerabilità in strumenti diffusi in modo che finisca su numerosi server in tutto il mondo.

Prova Gratuitamente Business Log! L'Adaptive SOC italiano

Proteggi la tua azienda e ottimizza il tuo lavoro grazie al SOC di Business Log, il software leader per audit, log management e cybersicurezza realizzato in Italia. Business Log garantisce:

Conformità a NIS2, GDPR e ISO 27001

Analisi avanzata e prevenzione del dossieraggio

Semplice da installare, potente da usare

Scarica ora la versione di prova gratuita per 30 giorni e scopri come Business Log può rivoluzionare la tua gestione dei log e la sicurezza IT!

Come notano gli esperti, il problema non risiede solo negli attacchi stessi, ma anche nell’approccio degli editori e dei consumatori di soluzioni open source.

Nella fretta di rilasciare rapidamente nuove versioni e funzionalità, la sicurezza viene spesso trascurata. Di conseguenza, le vulnerabilità critiche rimangono irrisolte per molto tempo. È noto, ad esempio, che anche anni dopo la scoperta del problema nel componente Log4Shell, circa il 13% dei suoi download contiene ancora versioni vulnerabili.

In media, sono necessari fino a 500 giorni per correggere le vulnerabilità critiche, un periodo significativamente più lungo rispetto al precedente periodo di 200-250 giorni. I bug meno gravi richiedono ancora più tempo per essere risolti: in alcuni casi questo processo richiede più di 800 giorni, sebbene in precedenza tali periodi raramente superassero i 400 giorni.

Questi dati mostrano che la catena di fornitura del software ha raggiunto un punto critico in cui le risorse degli editori semplicemente non riescono a tenere il passo con il crescente numero di vulnerabilità. Inoltre, ciascun ecosistema di programmazione ha le proprie caratteristiche, il che rende difficile garantirne la protezione.

Ad esempio, negli ultimi anni il gestore pacchetti Node.js ha registrato un forte aumento dei pacchetti dannosi legati allo spam e alle criptovalute.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.