Synopsys-Bericht zur Open-Source-Sicherheit SBOM: bestes Mittel zur Sicherung der Software-Lieferkette

Anbieter zum Thema

SYNOPSYS GmbH

Mimecast Germany GmbH

Specops Software GmbH

Der diesjährige OSSRA-Bericht verzeichnet einen Anstieg von Open-Source-Schwachstellen. Herausgeber Synopsys unterstreicht deshalb die Notwendigkeit einer umfassenden Software Bill of Materials (SBOM) als beste Verteidigung für die Sicherheit der Software-Lieferkette.

Synopsys hat die mittlerweile achte Ausgabe seines OSSRA-Berichts (Open Source Security and Risk Analysis) veröffentlicht. Er wurde vom Synopsys Cybersecurity Research Center (CyRC) erstellt und untersucht die Ergebnisse aus über 1.700 Audits kommerzieller und proprietärer Codebasen, die im Rahmen von Fusionen und Übernahmetransaktionen durchgeführt wurden. Der Bericht erläutert zudem Trends bei Open-Source-Nutzung in 17 verschiedenen Branchen.

Die Ergebnisse des OSSRA-Berichts von 2023 geben einen Einblick in den aktuellen Stand der Open-Source-Sicherheit, der Compliance und Lizenzierung sowie der Qualitätsrisiken hinsichtlich des Codes in kommerzieller Software. Die diesjährigen Resultate zeigen, dass die überwältigende Mehrzahl der Codebasen (84 %) mindestens eine bekannte Open-Source-Schwachstelle aufweist – gegenüber dem Vorjahr ein Anstieg von fast vier Prozent.

Synopsys empfiehlt als ersten Schritt, um die mit Open-Source-, proprietärem und kommerziellem Code verbundenen geschäftlichen Risiken zu senken, eine umfassende Bestandsaufnahme der gesamten Software, die in einem Unternehmen eingesetzt wird – und dies unabhängig davon, aus welchen Quellen diese stammt oder wie sie erworben wurde. Nur auf der Basis einer vollständigen Inventarisierung, einer Software Bill of Materials (SBOM), lasse sich eine Strategie entwickeln, um auch Risiken zu bewältigen wie sie durch die Offenlegung von Schwachstellen wie Log4Shell entstehen.

Synopsys zufolge ist eine umfassende SBOM absolut notwendig. Der Fünfjahresüberblick über die OSSRA-Daten zeige einen drastischen Anstieg bei der Open-Source-Nutzung. Die globale Pandemie habe wesentlich dazu beigetragen, dass die Open-Source-Nutzung beispielsweise im EdTech-Sektor um 163 Prozent zugenommen hat, denn Kurse und die Interaktion zwischen Lehrern und Schülern fanden zunehmend online statt. In der Luft- und Raumfahrtbranche, der Automobilindustrie sowie im Transport- und Logistiksektor sei die Open-Source-Nutzung ebenfalls stark angestiegen.

Alarmierend sei das Maß, in welchem die Zahl von Schwachstellen mit einem hohen Risiko in den letzten fünf Jahren zugenommen habe – im Bereich Einzelhandel und eCommerce beispielsweise um 557 Prozent. Im Vergleich dazu habe man im Internet der Dinge (IoT), wo 89 Prozent des gesamten Codes auf Open Source basieren, im selben Zeitraum einen Anstieg an risikoträchtigen Schwachstellen um 130 Prozent ermittelt. Auch die Luft- und Raumfahrt, die Automobilindustrie, das Transportwesen und die Logistik hätten einen Anstieg von 232 Prozent bei Hochrisikoschwachstellen verzeichnet.

Ein weiteres Ergebnis des Berichts betrifft Unternehmen, die Open-Source-Komponenten ohne Lizenz nutzen: Sie hätten ein höheres Risiko gegen das Urheberrecht zu verstoßen als bei der Verwendung lizenzierter Komponenten. 31 Prozent der Codebasen würden Open Source ohne jegliche erkennbare Lizenz oder mit angepassten Lizenzen verwenden. Dies entspreche einem Anstieg um 55 Prozent gegenüber dem letztjährigen OSSRA-Bericht. Fehlt eine Lizenz im Zusammenhang mit Open-Source-Code oder wird die Variante einer anderen Open-Source-Lizenz verwendet, könne das zu unerwünschten Anforderungen an den Lizenznehmer führen.

Verfügbarer Qualitätscode und Sicherheitspatches kommen laut OSSRA-Bericht bei der Mehrzahl von Codebasen nicht zum Tragen: Von den 1.480 geprüften Codebasen mit einem Risiko Assessment hätten 91 Prozent veraltete Versionen von Open-Source-Komponenten enthalten. Ohne eine genaue und aktuelle SBOM könnten solche Komponenten leicht in Vergessenheit geraten und irgendwann für einen hochriskanten Exploit anfällig werden.

(ID:49250561)