2018年开源状况：漏洞超16000个
极客时间编辑部
讲述：丁婵大小：2.69M时长：02:57
几年前，“开源”还是点点星火，如今已经成燎原之势。2018 年，企业都在积极加强自己在开源方面的实力，IBM 大手笔以 340 亿美元收购红帽，微软 75 亿美元收购 GitHub。
开源软件蓬勃发展的同时，安全漏洞风险也在增加。最近，Snyk 向 500 多名开源用户和维护人员分发了调查报告，同时也监控了 Snyk 内部监控和保护的数十万个项目的漏洞数据，并结合外部研究，发布了 2019 年开源安全状况报告。
报告指出，2018 年，Java 包增加了一倍，NPM 增加了大约 25 万个新包。据 Linux 基金会报告称，2018 年开源贡献者提交了超过 310 亿行的代码，这些代码一旦要在实际的生产环境中使用，那么拥有、维护和使用此代码的人就必须承担一定责任和风险。
据 CVE 报告显示，2017 年总共有 14000 多个漏洞，打破了 CVE 一年内报告的漏洞记录，而 2018 年，漏洞数量继续上升，超过了 16000 个。
根据 Python 注册表显示，PYPI 在 2018 年的下载量超过 140 亿，相比于 2017 年报告中的 63 亿，增加了一倍。另外，开源软件消费也取得巨大飞跃，从 PYPI 中下载 Python 包的数量是原来的两倍，从 NPM 下载 JavaScript 包的数量更是达到 3170 亿个。
NPM 注册表是整个 JavaScript 生态系统的核心。在过去几年，无论是添加还是下载软件包数量都稳步增长，仅在 2018 年 12 月就有 300 多亿次。
同时，Docker 的采用也促进了开源软件的增长，据悉，Docker 公司在 2018 年每两周就有超过 10 亿个容器下载。截止到目前，数量约有 500 亿个。仅 2018 一年，就有超过 100 万个新应用程序添加到 Docker Hub 中。
另外，在接受调查的受访者中，43% 至少有 20 个直接依赖关系，这无疑就需要增强对引入库源码的监控。事实上，只有三分之一的开发人员可以在一天或更少的时间内解决严重性漏洞。
NPM、Maven 和 Ruby 中的大多数依赖项都是间接依赖，由少数明确定义的库请求。在调查中，Snyk 扫描了 100 多万个快照项目，发现间接依赖项中的漏洞占整个漏洞的 78%，这说明需要进一步增强对依赖树的洞察，并突出脆弱路径的细微差别。
公开
同步至部落
取消
完成
0/2000
荧光笔
直线
曲线笔记
复制
AI
- 深入了解
- 翻译
- 解释
- 总结
该免费文章来自《极客视点》，如需阅读全部文章，
请先领取课程
请先领取课程
免费领取
© 版权归极客邦科技所有，未经许可不得传播售卖。 页面已增加防盗追踪，如有侵权极客邦将依法追究其法律责任。
登录 后留言
精选留言
由作者筛选后的优质留言将会公开显示，欢迎踊跃留言。
收起评论