A medida que aumenta el consumo de software de código abierto (OSS), se ha producido un aumento del 156% en el malware de código abierto, según nuevos hallazgos de Sonatype. El informe «décimo informe anual sobre el estado de la cadena de suministro de software» revela que se han identificado más de 704.102 paquetes maliciosos desde 2019, de los cuales 512.847 se han descubierto desde noviembre de 2023.
Consumo récord del código abierto
Este año ha sido un año récord para el consumo de código abierto, alcanzando un estimado de 6,6 billones de descargas. Según los hallazgos de Sonatype, se espera que JavaScript (npm) genere la asombrosa cifra de 4,5 billones de solicitudes en 2024, lo que representa un crecimiento interanual del 70% en solicitudes.
Por su parte, Python (PyPI), impulsado por la inteligencia artificial y la adopción de la nube, alcanzará 530 mil millones de solicitudes de paquetes para fines de 2024, un aumento interanual del 87%, según los hallazgos de Sonatype.
El riesgo persistente en las dependencias
Npm es un administrador de paquetes para el lenguaje de programación JavaScript y PyPI un administrador de paquetes para Python. La compañía dijo que las organizaciones continúan luchando con una mitigación eficiente de riesgos.
A pesar de que más del 99% de los paquetes tienen versiones actualizadas disponibles, el 80% de las dependencias de las aplicaciones permanecen sin actualizar durante más de un año. Además, el 95% de las veces, cuando se consumen componentes vulnerables, ya existe una versión reparada.
Log4j y la persistencia del riesgo
El riesgo es persistente y el 13% de las descargas de Log4j siguen siendo vulnerables, tres años después de la exposición de Log4shell. También se observó que los editores luchan por mantenerse al día con la corrección de CVE, ya que varias vulnerabilidades tardan más de 500 días en solucionarse.
Crecimiento exponencial de las vulnerabilidades
Entre 2013 y 2023, hubo un crecimiento del 463% en CVE. En el informe, Sonatype hace un llamado a los fabricantes, consumidores y reguladores de software para que adopten prácticas de seguridad sólidas.
Prácticas recomendadas
Prácticas de seguridad siempre activas: cuando herramientas como el Análisis de composición de software (SCA) se integran directamente en los procesos de CI/CD y durante todo el proceso de desarrollo, esto puede reducir el tiempo perdido por parte de los desarrolladores.
Es posible reducir el riesgo persistente: centrándose en herramientas que ayuden a gestionar las dependencias y aplicar la detección de vulnerabilidades en tiempo real. De hecho, descubrimos que los proyectos que utilizan una lista de materiales de software (SBOM) para gestionar las dependencias de OSS mostraron una reducción de 264 días en el tiempo medio de reparación (MTTR) en comparación con aquellos que no lo hicieron.
Regulaciones y políticas emergentes
A pesar de los desafíos, la compañía señaló que los reguladores están comenzando a ponerse al día con los problemas. Están surgiendo nuevas políticas, incluida la Directiva Network and Information Systems Directive (NIS2) de la UE, que entrará en vigor el 17 de octubre de 2024.
Estas políticas están fomentando la adopción de listas de materiales de software (SBOM), con más de 60.000 SBOM publicadas en el último año.