Das auf Services und Verwaltung von Open-Source-Software spezialisierte Unternehmen Black Duck Software hat eine Analyse von Open-Source-Bestandteilen in kommerzieller Software vorgenommen. Mit alarmierendem Ergebnis.
Dass Entwickler von Software-Firmen auf Open-Source-Komponenten und -Code zurückgreifen, ist wenig verwunderlich. Black Duck Software hat für seine Analyse “The State of Open Source Security in Commercial Applications” zwischen Oktober 2015 und März 2016 über 200 Software-Anwendungen analysiert. Das Alter der geprüften Anwendungen variiert laut dem für die Studie verantwortlichen Sicherheitsexperten von Black Duck, Mike Pittenger, stark. Alle Daten der Prüfung sind anonymisiert worden, es werden keine Anwendungen genannt.
Die kommerziellen Anwendungen weisen zu 95 Prozent Open-Source-Komponenten auf. Im Schnitt stecken in den von Black Duck geprüften Anwendungen jeweils rund 100 Open-Source-Bestandteile. Mike Pittenger schreibt in seiner Analyse, dass der klassische Weg von Open Source in kommerzielle Software darin besteht, dass Entwickler eine Funktion brauchen und es eine Open-Source-Komponente gibt, die diese Funktion erfüllt. Kommerzielle Software enthalte aber auch – ob dokumentiert und offengelegt oder nicht – auch so häufig Open-Source-Bestandteile. Dass immer mehr Entwicklungsabteilungen outgesourct werden, tue ein übriges dazu, dann gehe es beim Griff zu Open Source um Zeitersparnis und Kostenoptimierung. In anderen Fällen stecke freier Code in Komponenten, die intern immer wieder verwendet werden.
Alarmierendes Ergebnis bei den 200 geprüften Anwendungen: 67 Prozent der Open-Source-Komponenten weisen ungepatchte Sicherheitslücken auf. Im Schnitt seien es fünf ungepatchte Komponenten pro Anwendung gewesen, so Black Duck. Da sich viele Firmen gar nicht bewusst sind, wie hoch der Anteil von OS-Komponenten wirklich ist, sei das nicht verwunderlich.
Durch die Vielzahl der verwendeten Komponenten sei auch das Patchen von Lücken nicht trivial. Werde eine Lücke in einer Open Source Komponente gefunden, gäbe es in der Regel einen Patch. Stecke diese Komponente aber in einer Anwendung, die mehrere APIs und Abhängigkeiten von diversen anderen Komponenten aufweise, sei das Einspielen mit aufwändigen Tests verbunden. Firmen, die von der enthaltenen Open-Source-Komponente gar nicht erst wissen, seien ohnehin chancenlos. Es seien, rund 18 Monate nach der Entdeckung, bei den geprüften Anwendungen rund 10 Prozent für Heartbleed anfällig gewesen. Die Analyse “The State of Open Source Security in Commercial Applications” ist als PDF online.
