Ready-to-update : a practical approach for mapping and prioritizing vulnerability remediation of third-party libraries

Abstract

A disseminação do reuso de código aberto acelera o desenvolvimento de software, embora introduza riscos substanciais à segurança. Apesar das diversas abordagens acadêmicas para identificação e remediação de dependências vulneráveis, a ausência de soluções universais exige adaptações aos contextos organizacionais específicos. Esta dissertação apresenta e avalia o Ready-to-Update, uma metodologia concebida para priorizar e identificar vulnerabilidades conhecidas que demandam correção imediata. Desenvolvido a partir de um estudo de caso em uma instituição financeira de grande porte (FinCompany), o Ready-to-Update utiliza-se de métodos estabelecidos adaptados ao grau de maturidade de segurança e às necessidades da FinCompany. A metodologia estrutura-se em quatro etapas: (i) identificação de dependências; (ii) detecção de vulnerabilidades; (iii) localização de versões atualizadas; e (iv) avaliação de compatibilidade. A eficácia da proposta foi demonstrada por meio da análise de 2.140 artefatos Java, correspondentes a 585 projetos em produção na FinCompany entre janeiro e julho de 2024. Os resultados revelam uma prevalência crítica de vulnerabilidades, afetando 99,53% dos projetos analisados. Constatou-se que 92,40% das dependências diretas possuíam versões recentes, das quais 65,62% eram seguras. A atualização desses componentes permitiria reduzir as vulnerabilidades diretas em 98,63% dos projetos. Testes de compatibilidade binária e semântica confirmaram que a remediação é viável apenas via atualização de versão para 86,3% das dependências diretas. Em suma, esta dissertação evidencia que o Ready-to-Update possibilita uma abordagem estratégica para a remediação de vulnerabilidades, ao permitir que os desenvolvedores concentrem seus esforços em dependências que são diretamente gerenciáveis e para as quais existem alternativas mais seguras, o que, em última análise, leva a uma resolução mais rápida e eficaz das vulnerabilidades identificadas.