Aujourd’hui, le recours à des composants open source est en nette hausse dans le cadre du développement de logiciels. On en utilise plus de 3000 par an alors qu’il y a une dizaine d’années, moins de 100 bibliothèques open source étaient utilisées en moyenne pour chaque produit. Compte tenu de leur dépendance croissante vis-à-vis de l’open source, les éditeurs doivent contribuer à la sûreté de la chaîne d’approvisionnement de logiciels en prenant pleinement conscience des risques liés aux vulnérabilités et des exigences de conformité relatives au code qu’ils utilisent.

Comme beaucoup d’entreprises en ont déjà fait l’amère expérience, une période d’exposition (ou « fenêtre de risque ») intolérable subsiste entre la découverte d’une faille logicielle et le moment où un patch est finalement installé avec succès. Selon les résultats du Rapport de Flexera sur les vulnérabilités en 2017, 17 147 failles ont été découvertes au sein de 2 136 produits de 246 éditeurs : 81 % d’entre elles ont bénéficié de correctifs le même jour. Cependant, les entreprises mettent en moyenne 186 jours à installer complètement ces patches [1]. Une telle fenêtre de risque offre aux pirates de nombreuses opportunités de mener des attaques pouvant coûter cher à leurs victimes.

Le service Vulnerability Database est au cœur des solutions leaders de gestion des vulnérabilités logicielles de Flexera. Grâce à l’intégration entre cette puissante base de données et FlexNet Code Insight, les développeurs peuvent assurer leur protection ainsi que celle de leurs clients face aux conséquences potentiellement dévastatrices de l’exploitation des failles au niveau de composants open source.
Désormais, la solution réduira la période d’exposition aux risques en fournissant des renseignements complets sur les vulnérabilités découvertes.

Les organisations pourront ainsi protéger leurs produits et leurs clients plus rapidement, en identifiant les failles dès leur divulgation au grand public. Tout ceci leur permettra d’évaluer, de hiérarchiser et de corriger les vulnérabilités avant qu’elles ne soient exploitées. En outre, FlexNet Code Insight peut alerter les équipes de développement et de sécurité des nouvelles failles découvertes dans des produits déjà commercialisés.