Report zu Sicherheitsrisiken Open-Source-Malware: Anstieg um über 150 Prozent

Anbieter zum Thema

d.velop AG

Esker Software Entwicklungs-und Vertrieb

Yorizon GmbH & Co. KG

Der neue Report „State of the Software Supply Chain“ von Sonatype zeigt, dass im Rekordjahr 2024 Open-Source-Malware um 156 Prozent angestiegen ist. Dadurch nehmen die Sicherheitsrisiken in der Software-Lieferkette auf.

Sonatype, Plattform für die Sicherheit von Software-Lieferketten, hat heute seinen 10. Report „State of the Software Supply Chain“ veröffentlicht. Als erstes Unternehmen überhaupt hat Sonatype Open-Source-Daten der letzten zehn Jahre umfassend analysiert und gewährt der Branche damit wertvolle Einblicke. Gestützt auf Daten von mehr als sieben Millionen Open-Source-Projekten widmet sich der diesjährige Report der wachsenden Bedrohung durch Open-Source-Malware und dem Risiko in der Software-Lieferkette. In einem Jahr, in dem die Open-Source-Nutzung ein Rekordniveau erreicht und 2024 schätzungsweise 6,6 Billionen Downloads verzeichnet.

Open-Source-Malware ist auf dem Vormarsch

Zu den wichtigsten Ergebnissen des Berichts gehören:

Der Daten-Verbrauch wächst rasant: Python (PyPI) verzeichnete einen Anstieg von 80 Prozent im Vergleich zum Vorjahr und erreichte mehr als 530 Billionen Paketanfragen. Die Downloads von JavaScript (npm) stiegen im Vergleich zum Vorjahr um 70 Prozent auf 4,5 Billionen Anfragen an.

Open-Source-Malware breitet sich immer weiter aus: Sonatype stellte im Vergleich zum Vorjahr einen Anstieg der Anzahl bösartiger Pakete um 156 Prozent fest. Seit 2019 wurden mehr als 700.000 Pakete identifiziert.

Publisher kommen mit der Behebung von Sicherheitslücken nicht hinterher: Da die Anzahl der bekannten Schwachstellen (sogenannte CVEs, Common Vulnerabilities and Exposures) exponentiell weiter steigt, wurden einige kritische Sicherheitslücken über 500 Tage nicht geschlossen. Dies deutet darauf hin, dass Verantwortliche Schwierigkeiten haben, den großen Rückstau abzuarbeiten.

Bequemlichkeit führt zu anhaltenden Risiken: Obwohl für mehr als 99 Prozent der Pakete aktualisierte Versionen verfügbar sind, werden 80 Prozent der Anwendungsabhängigkeiten mehr als ein Jahr lang nicht aktualisiert. Und das, obwohl in 95 Prozent der Fälle, in denen anfällige Softwarekomponenten verwendet werden, bereits eine gefixte Version existiert.

Finanzielle Unterstützung stärkt die Software-Lieferkette: Bei Open-Source-Projekten mit kostenpflichtigem Support ist es dreimal wahrscheinlicher, dass sie über eine umfassende Sicherheitsstrategie verfügen. Außerdem werden bei Komponenten mit kostenpflichtigem Support offene Schwachstellen um bis zu 45 Prozent schneller behoben und weisen insgesamt nur halb so viele Schwachstellen auf.

Die Gesetzgeber schließen auf: In der EU wird diesen Monat die Richtlinie über Netz- und Informationssysteme (NIS2) eingeführt. Auch Indien und Australien erlässt neue Vorschriften. Diese Maßnahmen fördern die Einführung von SBOMs. Von diesen wurden im letzten Jahr mehr als 60.000 veröffentlicht.

Webseiten mit Malware

CrowdStrike-Vorfall: Vorsicht vor diesen schädlichen Domains

Ausgefeilte Angriffe auf die Software-Lieferkette

„In den letzten zehn Jahren haben wir beobachtet, dass die Angriffe auf die Software-Lieferkette, insbesondere durch den Anstieg von Open-Source-Malware, immer ausgefeilter und zahlreicher geworden sind, während Publisher und Anwender in puncto Sicherheit eher untätig geblieben sind“, so Brian Fox, CTO und Mitbegründer von Sonatype. „Um ein lebendiges und sicheres Open-Source-Ökosystem für das kommende Jahrzehnt zu garantieren, müssen wir ein Fundament aus proaktiver Sicherheit mit erhöhter Sensibilität gegen Open-Source-Malware, weniger Nachlässigkeit der Verbraucher und umfassendem Abhängigkeitsmanagement schaffen.“

Der im 10. Jahr veröffentlichte Bericht „State of the Software Supply Chain“ von Sonatype untersucht den Zustand der Software-Lieferkette und kombiniert hierfür ein breites Spektrum an öffentlichen und proprietären Daten und Analysen, einschließlich der Aktualisierungsmuster von Abhängigkeiten für mehr als 1,7 Billionen Anfragen von Maven Central und Tausenden von Open-Source-Projekten sowie die Bewertung von Hunderttausenden von wichtigen Unternehmensanwendungen. tung sicherer, hochwertiger und innovativer Software.

Der diesjährige Bericht analysierte auch operative Angebots-, Nachfrage- und Sicherheitstrends im Zusammenhang mit den Ökosystemen Java (Maven Central), JavaScript (npmjs), Python (PyPI) und .Net (NuGet). Spezielle Analysen wurden dank dem Community Report sowie Tidelift und ihrer Umfrage von mehr als 400 Open-Source-Maintainern einbezogen. Sonatype ist auf die Software-Lieferkettenoptimierung spezialisiert. Als Anbieter von Technologie und Expertise zur Optimierung der Software-Lieferkette unterstützt es Unternehmen bei der Entwicklung und Wartung sicherer und hochwertiger Software.