> ## Content Index
> Fetch the complete content index at: https://admin.kod.ru/llms.txt
> Use this file to discover other available public pages before exploring further.

# Сервис «Лаборатории Касперского» позволит минимизировать риски использования Open Source
- URL: https://admin.kod.ru/open-source-soft-threats-data-feed/
- Published: 2022-12-08T15:02:47.000Z
- Updated: 2022-12-08T15:29:31.000Z
- Description: Новый сервис для выявления закладок в ПО имеет данные примерно о трёх тысячах уязвимых и вредоносных пакетов.
- Author: Влад Войтенко
- Tags: Новости

«Лаборатория Касперского» представила сервис для выявления закладок в ПО с открытым исходным кодом, сообщили в компании «Коду Дурова».

Kaspersky Open Source Software Threats Data Feed позволит выявлять закладки в сторонних компонентах и ПО с открытым исходным кодом. Это поможет компаниям минимизировать риски использования продуктов Open Source.

Всё благодаря актуальным данным о пакетах с уязвимостями, вредоносным кодом и недекларированными возможностями. Уже сейчас в сервисе есть информация примерно о трёх тысячах уязвимых и вредоносных пакетов, размещённых в популярных репозиториях.

В десятках пакетов специалисты зафиксировали недекларированные возможности, в том числе отображение нежелательной информации политической направленности или пакеты, изменяющие свою функциональность в определённых регионах.

Утверждается, что некоторые из скомпрометированных компонентов загружены пользователями десятки тысяч раз. Исследование показало, что среди уязвимостей, обнаруженных в Open Source пакетах, около 35% имеют высокий уровень опасности, и около 10% — критический:

> Разработчики часто используют готовые пакеты с открытым исходным кодом при выполнении своих задач. Это позволяет им фокусироваться на комплексных проектах и индивидуальных требованиях к ПО, экономить время и ресурсы при создании стандартных функций. Существует несколько крупных репозиториев, где специалисты могут найти подходящий под свой проект компонент. Однако в подобных пакетах могут содержаться случайные или намеренные уязвимости, а также вредоносный код. Более того, иногда создатели пакета намеренно приводят исполняемый код программы к виду, сохраняющему её функциональность, но затрудняющему анализ, понимание алгоритмов работы и внесение изменений при декомпиляции.

В «Лаборатории Касперского» подчеркнули, что представленным потоком данных разработчики смогут избежать уязвимых и скомпрометированных пакетов. Эксперт по кибербезопасности «Лаборатории Касперского» Денис Паринов также напомнил о возникающих рисках:

> Использование готовых пакетов при разработке — это общепринятая практика. Она позволяет экономить много времени при создании ПО. Однако важно помнить о возникающих рисках атак на цепочку поставок, которые особенно возросли в 2022 году, когда были обнаружены сотни скомпрометированных и вредоносных пакетов в популярных репозиториях. Чтобы снизить риски подключения уязвимых или даже вредоносных пакетов, мы предлагаем проверять их сторонние компоненты с помощью нашего решения.