Awari aipẹ ti ẹnu-ọna ẹhin ni IwUlO data funmorawon XZ Utils - ti o wa ni o fẹrẹ to gbogbo awọn pinpin Linux pataki - jẹ olurannileti ti o wuyi pe awọn ẹgbẹ ti o jẹ awọn paati orisun ṣiṣi nikẹhin ojuse tirẹ fun aabo sọfitiwia naa.
XZ Utils, bii ẹgbẹẹgbẹrun awọn iṣẹ akanṣe orisun ṣiṣi miiran, jẹ ṣiṣe-iyọọda ati, ninu ọran rẹ, ni olutọju kan ṣoṣo ti n ṣakoso rẹ. Iru awọn iṣẹ akanṣe nigbagbogbo ko ni diẹ si awọn orisun fun mimu awọn ọran aabo, afipamo pe awọn ẹgbẹ lo sọfitiwia naa ni eewu tiwọn. Iyẹn tumọ si aabo ati awọn ẹgbẹ idagbasoke gbọdọ ṣe awọn igbese fun ṣiṣakoso eewu orisun ṣiṣi ni ọna kanna ti wọn ṣe pẹlu koodu idagbasoke inu, awọn amoye aabo sọ.
“Lakoko ti ko ṣeeṣe pe agbari le ṣe idiwọ ifihan [gbogbo] ni imunadoko lati pese awọn eewu pq, awọn ẹgbẹ le dojukọ patapata lori ete kan lati dinku iṣeeṣe pe ikọlu pq ipese kan ṣaṣeyọri,” ni Jamie Scott, oluṣakoso ọja ti o ṣẹda ni Endor Labs sọ.
Orisun ṣiṣi kii ṣe kanna bii ijade jade: “Awọn olutọju orisun ṣiṣi ti sọfitiwia jẹ oluyọọda. Ni ipele ile-iṣẹ, a nilo lati tọju wọn bi iru bẹẹ. A ni software wa; a ni iduro fun sọfitiwia ti a tun lo.”
Ifẹ-daradara, Labẹ Awọn orisun
Awọn ifiyesi lori aabo sọfitiwia orisun ṣiṣi kii ṣe tuntun rara. Sugbon o igba gba awari bi awọn Log4Shell ailagbara ati awọn backdoor ni XZ Utils lati wakọ ni ile gaan bii awọn ajo ti o ni ipalara ṣe jẹ si awọn paati ninu koodu wọn. Ati nigbagbogbo, koodu naa wa lati inu ero daradara sibẹsibẹ laini ireti labẹ awọn orisun orisun ṣiṣi awọn iṣẹ akanṣe ti o jẹ itọju diẹ.
XZ Utils, fun apẹẹrẹ, jẹ pataki iṣẹ akanṣe kan. Miiran ẹni kọọkan isakoso lati ajiwo awọn backdoor sinu awọn IwUlO lori akoko ọdun mẹta ti o fẹrẹẹ lọ, nipa jijẹ igbẹkẹle to diẹdiẹ lati ọdọ olutọju iṣẹ akanṣe. Ti olupilẹṣẹ Microsoft kan ko ba ni anfani lori rẹ ni ipari Oṣu Kẹta nigbati o n ṣe iwadii ihuwasi aibikita ti o ni nkan ṣe pẹlu fifi sori Debian kan, ile ẹhin le ti pari daradara lori awọn miliọnu awọn ẹrọ ni kariaye - pẹlu awọn ti o jẹ ti awọn ile-iṣẹ nla ati awọn ile-iṣẹ ijọba. Bi o ti wa ni titan, ẹnu-ọna ẹhin ni ipa diẹ nitori pe o kan awọn ẹya ti XZ Utils ti o wa nikan ni riru ati awọn ẹya beta ti Debian, Fedora, Kali, ṣii SUSE, ati Arch Linux.
Nigbamii ti iru ẹnu koodu orisun ṣiṣi le buru pupọ. "Apakan ti o bẹru julọ fun awọn ile-iṣẹ iṣowo ni pe awọn ohun elo wọn ti wa ni itumọ lori oke ti awọn iṣẹ-ṣiṣe software orisun orisun gẹgẹbi XZ Utils," Donald Fischer, oludasile-oludasile ati Alakoso ti Tidelift sọ. “XZ Utils jẹ package kan ti awọn ẹgbẹẹgbẹrun ti o wa ni lilo lojoojumọ nipasẹ awọn ajọ ile-iṣẹ aṣoju,” o sọ.
Pupọ julọ awọn ajo wọnyi ko ni hihan to sinu aabo ati resilience ti apakan yii ti pq ipese sọfitiwia wọn lati ni anfani lati ṣe iṣiro eewu, o ṣe akiyesi.
A laipe Harvard Business School Iwadi ṣe iṣiro iye eletan-ẹgbẹ ti sọfitiwia orisun ṣiṣi lati jẹ iyalẹnu $8.8 aimọye. Awọn olutọju wa ni ipilẹ ti ilolupo ilolupo yii ati pe ọpọlọpọ ninu wọn n fo adashe, Fischer sọ. Iwadii kan ti Tidelift ṣe ni ọdun to kọja ti rii 44% ti awọn olutọju iṣẹ orisun ṣiṣi ṣe apejuwe ara wọn bi awọn olutọju nikan ti awọn iṣẹ akanṣe wọn. Ogota ogorun ṣe afihan ara wọn bi awọn aṣenọju ti a ko sanwo, ati pe ipin kanna sọ pe wọn ti jáwọ kuro tabi ti ronu didaṣe awọn ipa wọn bi awọn olutọju iṣẹ akanṣe. Ọpọlọpọ awọn olutọju ṣe apejuwe awọn akitiyan wọn bi aapọn, adashe, ati iṣẹ ti ko ni ere, Fischer sọ.
Fischer sọ pe “Awọn ohun elo XZ gige mu sinu iderun nla awọn eewu ti idoko-owo ni ilera ati isọdọtun ti pq ipese sọfitiwia orisun ṣiṣi [ti] awọn ẹgbẹ ile-iṣẹ gbarale,” Fischer sọ. “Awọn ile-iṣẹ iṣowo nilo lati mọ pe pupọ julọ ti awọn idii orisun ṣiṣii ti o gbẹkẹle julọ ni itọju nipasẹ awọn oluyọọda ti o ṣapejuwe ara wọn bi awọn aṣenọju ti a ko sanwo. Awọn olutọju wọnyi kii ṣe awọn olupese ile-iṣẹ ṣugbọn wọn nireti lati ṣiṣẹ ati firanṣẹ bii wọn. ”
Ewu: Awọn igbẹkẹle iyipada
A iwadi ti Endor ṣe ni ọdun 2022 rii pe 95% ti awọn ailagbara orisun ṣiṣi wa ninu eyiti a pe ni awọn igbẹkẹle gbigbe, tabi awọn idii orisun ṣiṣi keji tabi awọn ile-ikawe ti package orisun ṣiṣi akọkọ le dale lori. Nigbagbogbo, iwọnyi jẹ awọn idii ti awọn olupilẹṣẹ ko yan ara wọn taara ṣugbọn wọn gba iṣẹ laifọwọyi nipasẹ package orisun ṣiṣi ninu iṣẹ akanṣe idagbasoke wọn.
"Fun apẹẹrẹ, nigba ti o ba gbẹkẹle ọkan Maven package, ni apapọ awọn afikun 14 ti o gbẹkẹle ti o gbẹkẹle bi abajade," Scott sọ. “Nọmba yii paapaa tobi julọ ni awọn eto ilolupo sọfitiwia kan gẹgẹbi NPM nibiti o ti gbe wọle ni apapọ awọn paati sọfitiwia 77 miiran fun gbogbo ọkan ti o gbẹkẹle.”
Ọna kan lati bẹrẹ idinku awọn eewu orisun ṣiṣi ni lati fiyesi si awọn igbẹkẹle wọnyi ki o yan nipa kini awọn iṣẹ akanṣe ti o yan, o sọ.
Awọn ile-iṣẹ yẹ ki o ṣe ayẹwo awọn igbẹkẹle, paapaa awọn idii ti o kere ju, awọn idii ọkan-pipa, ti a ṣakoso nipasẹ awọn ẹgbẹ ọkan ati eniyan meji, ṣafikun Dimitri Stiliadis, Endor's CTO ati oludasile-oludasile. Wọn yẹ ki o pinnu boya awọn igbẹkẹle ni agbegbe wọn ni awọn iṣakoso aabo to dara tabi ti eniyan kan ba ṣe gbogbo koodu; boya wọn ni awọn faili alakomeji ninu awọn ibi ipamọ wọn ti ko si ẹnikan ti o mọ nipa; tabi paapaa ti ẹnikan ba n ṣetọju iṣẹ akanṣe rara, Stiliadis sọ.
"Dojukọ awọn akitiyan rẹ lori imudarasi imunadoko idahun rẹ - awọn iṣakoso ipilẹ gẹgẹbi titọju akojo akojo sọfitiwia ti o dagba jẹ ọkan ninu awọn eto iye ti o ga julọ ti o le ni ni aye lati ṣe idanimọ iyara, iwọn, ati dahun si awọn eewu sọfitiwia ni kete ti idanimọ wọn,” Scott awọn imọran.
Awọn irinṣẹ onínọmbà-akopọ sọfitiwia, awọn ọlọjẹ ailagbara, awọn eto EDR/XDR, ati awọn SBOM tun le ṣe iranlọwọ fun gbogbo awọn ajo ni iyara lati ṣe idanimọ awọn paati orisun ṣiṣi ti o jẹ ipalara ati gbogun.
Gbigba Irokeke naa
“Ifihan idinku bẹrẹ pẹlu oye pinpin ati ifọwọsi ni C-suite ati paapaa ni ipele igbimọ ti aijọju 70% ti awọn eroja ti ọja sọfitiwia apapọ jẹ sọfitiwia orisun ṣiṣi ti itan-akọọlẹ ti a ṣẹda nipasẹ awọn oluranlọwọ ti ko ni isanwo pupọ,” Tidelift's Fischer sọ.
Awọn ilana titun ati awọn itọnisọna ni ile-iṣẹ awọn iṣẹ inawo, FDA, ati NIST yoo ṣe apẹrẹ bawo ni a ṣe ṣe agbekalẹ sọfitiwia ni awọn ọdun ti n bọ ati awọn ajo nilo lati mura silẹ fun wọn ni bayi. "Awọn olubori nibi yoo yara ni ibamu lati ilana ifaseyin si ilana imunadoko lati ṣakoso eewu ti o ni ibatan si orisun,” o sọ.
Fischer ṣeduro pe awọn ẹgbẹ gba aabo wọn ati awọn ẹgbẹ imọ-ẹrọ lati ṣe idanimọ bii awọn paati orisun ṣiṣi tuntun ṣe wa si agbegbe wọn. Wọn yẹ ki o tun ṣalaye awọn ipa fun ṣiṣe abojuto awọn paati wọnyi ki o yọkuro awọn ti ko baamu itunnu eewu ti ile-iṣẹ naa. “Idahun si awọn iṣoro ipele pẹ ti di ọna ti ko munadoko lati koju iwọn eewu si iṣowo ni awọn ọdun diẹ sẹhin, ati Ijọba AMẸRIKA n ṣe afihan akoko yẹn ti n bọ si opin,” o sọ.
- SEO Agbara akoonu & PR Pinpin. Gba Imudara Loni.
- PlatoData.Network inaro Generative Ai. Fi agbara fun ara Rẹ. Wọle si Nibi.
- PlatoAiStream. Web3 oye. Imo Amugbadun. Wọle si Nibi.
- PlatoESG. Erogba, CleanTech, Agbara, Ayika, Oorun, Isakoso Egbin. Wọle si Nibi.
- PlatoHealth. Imọ-ẹrọ Imọ-ẹrọ ati Awọn Idanwo Ile-iwosan. Wọle si Nibi.
- Orisun: https://www.darkreading.com/application-security/xz-utils-scare-exposes-hard-truths-in-software-security
