Las vulnerabilidades del software de código abierto aumentaron un 50% en 2019

Los componentes de código abierto se han convertido en una parte integral de los proyectos de software en todo el mundo y son imprescindibles para muchos de los servicios y aplicaciones actuales. El aumento de su número y la mayor facilidad de auditoría por la apertura del código, los somete a un mayor escrutinio con respecto a la seguridad.

No debe sorprender, por tanto, un informe del especialista en gestión WhiteSource, donde asegura que las vulnerabilidades del software de código abierto reveladas en 2019 superaron las 6.000, casi un 50 por ciento más que el año anterior.

Las vulnerabilidades de software son inherentes al propio desarrollo del código y hay abundancia de ellas semana a semana en todo tipo de productos y plataformas. Su número es menos importante que el índice de gravedad o el de explotabilidad, como veíamos recientemente en el artículo «Windows 10 tiene menos vulnerabilidades de software que Linux, MacOS y Android». También la transparencia o el tiempo que se tarda en parchearlas, un aspecto en el destaca el software de código abierto donde las soluciones suelen estar listas en breve espacio de tiempo.

De hecho, el informe de WhiteSource destaca que más del 85 por ciento de las vulnerabilidades de código abierto descubiertas ya tienen soluciones disponibles.

Sin embargo, la información sobre vulnerabilidades no se publica en una ubicación centralizada, sino que está dispersa en cientos de recursos y, a veces, está mal indexada, lo que a menudo dificulta la búsqueda de datos específicos. Basado en la base de datos de WhiteSource, solo el 29 por ciento de todas las vulnerabilidades de código abierto reportadas se publicaron en la NVD (National Vulnerability Database).

Los investigadores también compararon las vulnerabilidades reportadas en 2019 según los principales lenguajes de programación y y luego compararon esos números con los de los últimos diez años. C todavía tiene el mayor porcentaje de vulnerabilidades debido al alto volumen de código escrito en este lenguaje. El número relativo de vulnerabilidades de PHP ha aumentado significativamente, mientras que Python tiene un porcentaje relativamente bajo de vulnerabilidades, aunque su popularidad, especialmente en la comunidad de código abierto, continúa aumentando.

Lo más importante de esta lista es que solo porque los proyectos populares de código abierto tengan vulnerabilidades no significa que sean inherentemente inseguros. Solo significa que, los usuarios de este tipo de software deben conocer los riesgos de seguridad y asegurarse de mantener las dependencias actualizadas.

«El panorama de vulnerabilidades de código abierto puede parecer complejo y desafiante al principio, pero hay formas de ganar visibilidad y control sobre los componentes de código abierto que componen los productos que lanzamos», explican los autores del informe.