Flexera Statusreport 2020 zu Open Source Lizenzierung

Wachsender Einsatz von Open Source verschärft Compliance-Risiken: Mit 662 kritischen Fällen pro Audit steigt die Zahl im Vergleich zum Vorjahr um 80%


München - 27. Februar 2020 Flexera, Anbieter von Lösungen für Softwarelizenzierung, IT-Security und Installation, hat den neuen „State of Open Source License Compliance“ Report veröffentlicht. Die Experten für Software Composition Analysis analysierten Daten aus insgesamt 121 Audits weltweit, um den Umfang an undokumentierter Open Source Software in Unternehmen zu erfassen und potentielle Compliance- und Sicherheits-Risiken zu identifizieren.

Für die branchenübergreifende Studie wertete Flexera mehr als 2,6 Milliarden Codezeilen aus. Die Audit-Teams prüften die identifizierten OSS-Komponenten sowohl auf bekannte Schwachstellen als auch auf die Einhaltung der Compliance-Vorgaben. Dabei entdeckten sie insgesamt 80.157 kritische Fälle – eine Steigerung von 80% im Vergleich zum Vorjahr.

Die wichtigsten Ergebnisse des Flexera Open Source-Reports 2020 im Überblick:

  • Open Source-Probleme nehmen zu
    Durchschnittlich stießen die Analysten alle 32.600 Codezeilen auf einen Compliance-Verstoß, eine Schwachstelle oder Ähnliches. Bei jedem Audit kommen so im Schnitt 662 kritische Fälle ans Licht. Die Zahl der potenziellen Open Source-Risiken stieg damit im Vergleich zum Vorjahr um 80% (2019: 367). Der Anstieg ist unter anderem auf die Anzahl der verwendeten Node.js-Pakete aus NPM-Modulen zurückzuführen ist – ein Trend, der sich 2020 fortsetzen wird.
  • Blind bei der Nutzung von Open Source
    Unternehmen schätzen die Nutzung von Open Source falsch ein. Tatsächlich gehen 45 Prozent der in den Audits untersuchten Codebasis auf Open-Source-Komponenten zurück. Den Unternehmen waren gerade einmal 1 Prozent dieser Komponenten vor Beginn des Auditprozesses bekannt. Das Fehlen von automatisierten Scan- und Monitoring-Prozessen für Open Source-Komponenten sind ein Grund für diese massive Fehleinschätzung.
  • Versäumnisse von Security Scans
    Baseline-Audits und Fast Scans liefern nur unzureichende Ergebnisse. Im Rahmen von forensischen Audits werden pro Audit durchschnittlich 6% mehr Compliance-Risiken entdeckt als bei Standard-Audits. Im Vergleich zu gezielten Audits liegt die Trefferquote um 9% höher.
  • Kritikalität der Compliance-Verstöße
    Rund 17% der Treffer wurden als kritische Compliance-Risiken (Prioritätsstufe 1) eingestuft, die damit ein unmittelbares Risiko darstellen und ein schnelles Handeln erfordern. Dazu gehören u.a. schwere Verstöße gegen Copyleft-Lizenzen, die APGL und GPL betreffen. Weitere 5% der entdeckten OSS-Fälle fielen unter Prioritätsstufe 2 (z. B. sekundäre Probleme mit kommerziellen Lizenzen). 76% der Ergebnisse entsprachen der Prioritätsstufe 3, darunter risikoarme Probleme im Zusammenhang mit permissiven Lizenzen von BSD, Apache oder MIT.
  • Häufigkeit von Sicherheits-Schwachstellen
    Bei der Auswertung von 91 forensischen und Standard-Audits identifizierten die Analysten im Schnitt 45 Vulnerabilities je Audit. Von den aufgedeckten Schwachstellen stellten 45 Prozent ein „hohes“ CVSS-Risiko dar (Common Vulnerability Scoring System).

„Der Einsatz von Open Source Software nimmt aus gutem Grund weiter zu. Entwickler können ihre Produktivität steigern, die Markteinführung von Produkten beschleunigen und Kosten senken. Sowohl Softwareanbieter als auch ihre Partner und Kunden müssen genau wissen, welche Open Source-Komponenten wie in welchen Produkten enthalten sind. Die steigende Zahl an Compliance-Verstößen, die wir in Audits entdeckt haben, zeigt, wie wichtig eine ganzheitliche Open-Source-Management-Strategie für die gesamte Supply Chain ist“, erklärt Brent Pietrzak, SVP und General Manager bei Flexera. „Open Source birgt nicht automatisch mehr Risiken als proprietärer Code. Fehlt es jedoch an der richtigen Dokumentation und Verwaltung kann Open Source schnell zu einem echten Sicherheitsrisiko werden.“

Den vollständigen “Report State of Open Source License Compliance” finden Sie auf der Flexera Software Website.  

Bildmaterial zum Download:

Einstufung der Compliance-Verstöße

Definition Prioritätsstufen P1-P3

Weitere Informationen:

Folgen Sie Revenera

Über Revenera

Mit Revenera entwickeln Unternehmen bessere Produkte, verkürzen die Time-to-Market und monetarisieren das, was wirklich zählt. Die führenden Lösungen von Revenera unterstützen Software- und Technologieunternehmen dabei, ihren Umsatz mit moderner Software-Monetarisierung zu steigern. Außerdem erhalten sie anhand aussagekräftiger Analysen Einblicke in die Nutzung ihrer Software und können den Einsatz von Open-Source-Lösungen mithilfe von Software Composition Analysis fördern. Ganz nebenbei besticht Revenera durch ein hervorragendes Benutzererlebnis – für Embedded-, On-Premise-, Cloud- und SaaS-Produkte. Weitere Informationen finden Sie online unter www.revenera.de.

Pressekontakt:


Revenera GmbH
Nicole Segerer
Highlight Towers
Mies-van-der-Rohe-Str. 8
80807 München
Tel.: + 49 89 189 174-396
munich@revenera.com

* Alle Marken von Drittanbietern sind Eigentum der jeweiligen Inhaber.