Flexera veröffentlicht Statusreport zu Open Source Lizenzierung

Flexera hat den neuen „State of Open Source License Compliance“ Report veröffentlicht. Der Sicherheitsreport zeigt: Während der Anteil von Open Source Software (OSS) zunimmt, sind Unternehmen oft nicht in der Lage die damit verbundenen Lizenz- und Compliance-Verpflichtungen zu erfüllen. Fehlt es jedoch am Management steigt das Risiko – sowohl für die IT-Sicherheit als auch auf finanzieller und rechtlicher Seite.

Für den Report analysierte Flexera Daten aus insgesamt 134 Audits, bei denen der Umfang der Nutzung von Open Source in Unternehmen bis auf Codeebene erfasst wurde. Die Audit-Teams prüften die identifizierten OSS-Komponenten sowohl auf bekannte Schwachstellen als auch auf die Einhaltung der Compliance-Vorgaben. Die wichtigsten Ergebnisse des Open Source-Reports im Überblick:

• Pro Audit konnte Flexera durchschnittlich 367 kritische Fälle aufdecken. Die große Mehrheit (98 Prozent) war den Unternehmen vor Beginn des Audits nicht bekannt.
• Rund 16 Prozent der Treffer wurden als kritische Compliance-Risiken (Prioritätsstufe 1) eingestuft und erforderten sofortige Gegenmaßnahmen. Dazu gehören unter anderem schwere Verstöße gegen Copyleft-Lizenzen, die APGL und GPL betreffen. Weitere zehn Prozent der entdeckten OSS-Fälle fielen unter Prioritätsstufe 2 (zum Beispiel sekundäre Probleme mit kommerziellen Lizenzen). 71 Prozent der Ergebnisse entsprachen der Prioritätsstufe 3, darunter risikoarme Probleme im Zusammenhang mit permissiven Lizenzen von BSD, Apache oder MIT.
• Durchschnittlich stießen die Flexera-Analysten alle 32.873 Codezeilen auf ein Compliance-Risiko, eine Schwachstelle oder Ähnliches. Diese Trefferquote erscheint zwar auf den ersten Blick relativ klein. Berücksichtigt man jedoch die tatsächliche enorme Anzahl an Code, aus denen sich Softwareprodukte zusammensetzen, verändert sich das Bild. So umfasst beispielsweise die Software in modernen Autos durchschnittlich 80 bis 100 Millionen Codezeilen pro Fahrzeug.
• Im Zuge der Auswertung verglich Flexera die Ergebnisse von forensischen Audits im Rahmen von Übernahmen und Fusionen mit weniger tiefgreifenden Baseline-Audits. Das Ergebnis: Bei M&A Audits konnten die Analysten 30 Prozent mehr OSS-kritische Fälle der Prioritätsstufe 1 identifizieren. Bei Vorfällen der Prioritätsstufe 2 und 3 waren es sogar 224 Prozent beziehungsweise 245 Prozent mehr. Insgesamt lieferten Forensic Audits damit doppelt so viele Ergebnisse wie eine oberflächliche Überprüfung auf Open Source.

„Mit dem Trend zu immer schnelleren und agileren Entwicklungsprozessen, werden Compliance- und Sicherheitsfragen beim Einsatz von Open Source oft nicht ausreichend beleuchtet. Das trifft vor allem dann ein, wenn das Unternehmen keine klaren Richtlinien zur Nutzung und Erfassung von OSS vorgibt. Viele Unternehmen verlassen sich auf eine oberflächliche Analyse der verwendeten Komponenten. So bleiben viele Details wie zum Beispiel Snippets, die über Copy und Paste in den Code gelangen verborgen”, erklärt Nicole Segerer, Head of IoT DACH bei Flexera. „Zudem gilt es, die gesamte Software Supply Chain im Auge zu behalten. Open-Source-Code stammt in den meisten Fällen aus unterschiedlichen Quellen wie Containern, Build-Dependencies oder Binärdateien. Es geht also nicht nur darum, den eigenen, intern entwickelten Code zu kennen, sondern auch zu wissen, was über externe Partner und Drittanbieter hinzufügt wurde.“

Weitere Informationen: www.flexera.de und https://info.flexerasoftware.com/SCA-WP-Open-Source-License-Compliance-Report