Open Source: Software-Schwachstellen bleiben vier Jahre unentdeckt

Viele Kenner und Spezialisten im Feld vertrauen bei ihrer Software auf Open Source mit der Prämisse der Transparenz. Jeder kann sich ansehen, was bei solchen Programmen hinter den Vorhängen passiert. Dies ist bei Software von beispielsweise Apple oder Microsoft nicht immer oder nur schwer möglich. Dieses Argument ist jedoch eine zweischneidige Klinge, wie eine Studie von GitHub ergibt.

Wie diese nun zeigt, dauert es erstaunlich lange, bis Sicherheitslücken in Open-Source-Software gefunden werden. Genauer gesagt bleiben diese Lecks in Programmen im Schnitt ganze vier Jahre offen, wie «IT Magazine» berichtet. Sobald es dann aber soweit ist, dauert es durchschnittlich nur vier Wochen, bis die Lücke gefixt ist, ein guter Wert. Generell gilt hier kritisch zu bleiben, laut GitHub seien nur rund 17 Prozent der gemeldeten Lücken tatsächlich gefährlich.

Bei der besagten Studie wurden 2020 Daten von über 60 Millionen neuen Repositories und mehr als 1,9 Milliarden Codebeiträgen berücksichtigt. Auch werden nur Daten von aktiven Projekten ausgewertet. GitHub gibt hier an, dass 94 Prozent dieser auch zumindest teilweise auf Open Source setzen. Die häufigsten Abhängigkeiten von Open Source findet man bei Javascript, Ruby und NET.