La bombe à retardement des librairies open source non mises à jour - Le Monde Informatique
[fr](www.lemondeinformatique.fr)
Article très intéressant avec des vraies stats sur l'état de l'open source dans le monde (un peu patraque on va pas se mentir il lui faudrait une petite laine ou je sais pas moi un bon chocolat chaud au moins).
C’est une menace latente mais bien réelle sur laquelle alerte Veracode dans son 11eme rapport « State of Software Security : Open Source Edition » (sur inscription). En effet pour le spécialiste des tests applicatifs, un champ de mines se cache sous le capot des logiciels modernes. Ces bombes à retardement proviennent des bibliothèques open source et de l’absence d’actualisation du code. En général, les développeurs se servent de ces librairies pour créer leurs applications, mais sans se soucier de la qualité du code, ni de la sécurité.
Sur le plan méthodologique, Veracode a utilisé des données provenant de 13 millions d'analyses couvrant 86 000 référentiels, contenant à leur tour plus de 301 000 bibliothèques uniques. Le rapport cite également les réponses de près de 2 000 développeurs interrogés. Parmi les résultats, le rapport montre que 80 % des bibliothèques tierces ne sont jamais mises à jour et que presque tous les dépôts de code analysés comprenaient des bibliothèques présentant au moins une vulnérabilité.