Open Source-Lizenzierung 02.03.2020, 07:55 Uhr

Flexera Statusreport 2020 vorgestellt

Flexera hat den neuen »State of Open Source License Compliance«-Report veröffentlicht.
Einstufung der Compliance-Verstöße nach Risikostufen.
(Quelle: https://info.flexerasoftware.com )
Die Experten für Software Composition Analysis analysierten Daten aus insgesamt 121 Audits weltweit, um den Umfang an undokumentierter Open Source Software in Unternehmen zu erfassen und potentielle Compliance- und Sicherheits-Risiken zu identifizieren.
Für die branchenübergreifende Studie wertete Flexera mehr als 2,6 Milliarden Codezeilen aus. Die Audit-Teams prüften die identifizierten OSS-Komponenten sowohl auf bekannte Schwachstellen als auch auf die Einhaltung der Compliance-Vorgaben. Dabei entdeckten sie insgesamt 80.157 kritische Fälle – eine Steigerung von 80 Prozent im Vergleich zum Vorjahr.
Durchschnittlich stießen die Analysten alle 32.600 Codezeilen auf einen Compliance-Verstoß, eine Schwachstelle oder Ähnliches. Bei jedem Audit kommen so im Schnitt 662 kritische Fälle ans Licht. Der Anstieg ist unter anderem auf die Anzahl der verwendeten Node.js-Pakete aus NPM-Modulen zurückzuführen ist.
Unternehmen schätzen die Nutzung von Open Source falsch ein. Tatsächlich gehen 45 Prozent der in den Audits untersuchten Codebasis auf Open-Source-Komponenten zurück. Den Unternehmen waren gerade einmal 1 Prozent dieser Komponenten vor Beginn des Auditprozesses bekannt.
Rund 17 Prozent der Treffer wurden als kritische Compliance-Risiken (Prioritätsstufe 1) eingestuft, die damit ein unmittelbares Risiko darstellen und ein schnelles Handeln erfordern. Dazu gehören unter anderem schwere Verstöße gegen Copyleft-Lizenzen, die APGL und GPL betreffen. Weitere 5 Prozent der entdeckten OSS-Fälle fielen unter Prioritätsstufe 2 (zum Beispiel sekundäre Probleme mit kommerziellen Lizenzen). 76 Prozent der Ergebnisse entsprachen der Prioritätsstufe 3, darunter risikoarme Probleme im Zusammenhang mit permissiven Lizenzen von BSD, Apache oder MIT.



Das könnte Sie auch interessieren