Jährlich grüßt die Schwachstellen DB

Ich habe für vier große Open Source Projekte exemplarisch für die Jahre 2017 bis 2021 ernstzunehmende Schwachstellen herausgesucht. Diese Projekte sind sehr weit verbreitet und haben ein professionelles Management.

Aber sie sind auch komplex und haben selbst Abhängigkeiten. Wir wundern uns also nicht über die Schwachstellen. Wir sind vielmehr froh, dass sie gefunden und behoben sind.

Die Liste zeigt aber auch, dass ohne regelmäßige Wartung meiner eigenen Software bzgl. ihrer Abhängigkeiten die Wahrscheinlichkeit für die Anfälligkeit gegenüber bekannten (!) Schwachstellen stetig wächst. Dabei sind die Projekte bewusst für vier verbreitete Programmiersprachen gewählt.

Node.js (JavaScript)

CVE-2017-15896

CVE-2018-7160

CVE-2019-15605

CVE-2020-8265

CVE-2021-22930

Spring (Java)

CVE-2017-8045

CVE-2018-1260

CVE-2019-3773

CVE-2020-5407

CVE-2021-22112

Symfony (PHP)

CVE-2017-11365

CVE-2018-11407

CVE-2019-10913

CVE-2020-15094

CVE-2021-41268

Django (Python)

CVE-2017-7233

CVE-2018-6188

CVE-2019-14234

CVE-2020-7471

CVE-2021-35042

Da Node.js eine Zwischenrolle als JavaScript Laufzeitumgebung inkl. Framework einnimmt, habe ich auch PHP, Python und das Java Development Kit jeweils mit mindestens einem relevanten Eintrag in der Datenbank gefunden.