Сопровождащият libxml2 се отказа от особено отношение към премахването на уязвимости.

Ник Велнхофер (Nick Wellnhofer), който отговаря за библиотеката libxml2, обяви, че оттук нататък ще третира уязвимостите като обикновени грешки. Съобщенията за уязвимости няма да бъдат разглеждани в приоритетен порядък и ще се коригират, когато се появи свободно време. Информацията за същността на уязвимостите ще бъде публикувана публично веднага, без да се изчаква формулирането на пач и разпространението на корекции в дистрибуции и операционни системи. Ник също така се оттегли от задълженията си по поддръжката на библиотеката libxslt и изрази съмнения, че ще се намери някой готов да поеме нейното поддържане.

В описанието на проекта libxml2 е добавена бележка, която посочва, че библиотеката е написана от ентусиасти, поддържа се от един доброволец, лошо е тествана, написана на език, който е небезопасен при работа с памет, съдържа множество уязвимости и не се препоръчва за обработка на недоверени данни. Съобщенията за проблеми с безопасността трябва да се изпращат чрез официалната публична система за проследяване на грешки и те ще бъдат обработвани като всяка друга грешка. Затворените уязвимости вече няма да бъдат отстранявани и всички налични данни за проблеми с безопасността ще бъдат публикувани незабавно, независимо от изискванията за конфиденциалност до определена дата и без отлагане на разкритията до релиза.

Очаква се преходът към обработка на уязвимостите като обикновени грешки да даде възможност на Ника да се съсредоточи върху основната работа по libxml2, без да се разсейва с непланирани задачи. В сегашната ситуация Ник е принуден да отделя няколко часа на седмица за обработка на съобщения за уязвимости и подготовка на пачове, което създава значителен стрес, имайки предвид, че поддръжката се извършва единствено от ентусиазъм.

Отбелязва се, че прикриването на информация за уязвимости до публикуване на актуализации и метрики като OpenSSF Scorecard е само опит на големите компании да предизвикат чувство на вина у поддържащите и да ги накарат да работят безплатно. Наложените допълнителни изисквания към доброволците, които работят без компенсация, са определени като вредна практика.

Според Ника, библиотеката libxml2 не притежава необходимото качество, за да бъде използвана в браузъри и операционни системи. Въпреки това, големи компании като Apple, Google и Microsoft започнаха да използват libxml2 в своите операционни системи и продукти. Тези действия се определят като безотговорни, а извършената работа — като опити да се премахнат симптомите, вместо да се реши причината за проблемите. Според Ника, за проекта би било по-добре, ако споменатите компании прекратят използването на libxml2.

Източник: opennet.ru