Im Schnitt ein Jahr ungepatcht

Das Unternehmen fand heraus, dass über 80 Prozent der anfälligen Anwendungsabhängigkeiten länger als ein Jahr ungepatcht bleiben, obwohl für 95 Prozent sicherere Alternativen verfügbar sind. Selbst wenn Updates eingespielt werden, werden in 3,6 Prozent der Fälle gefährdete Abhängigkeiten auf andere, unsichere Versionen aktualisiert.

Nehmen wir zum Beispiel Log4j. Die Protokollierungsbibliothek für Java, die in Millionen von Anwendungen verwendet wird, wies im Dezember 2021 eine kritische Sicherheitslücke auf, die auf den Namen „Log4Shell“ getauft wurde. Diese Lücke und einige andere, die kurz darauf folgten, machten zwar viele Schlagzeilen, aber fast drei Jahre später sind immer noch 13 Prozent der Log4j-Downloads aus dem Maven Central Java Repository für anfällige Versionen vorhanden.

„Das Management von Open-Source-Risiken erfordert die Optimierung von Sicherheitsrichtlinien und -praktiken, um mit der rasanten Entwicklung neuer OSS-Bibliotheken Schritt zu halten“, schreibt Sonatype in seinem Bericht. Unternehmen kämpften damit, DevOps-Prozesse für manuelle Schwachstellenprüfungen langsamer machen zu müssen. Das frustriere die Entwicklungsteams.