Nick Wellnhofer, správce knihovny libxml2, oznámil, že od nynějška bude zranitelnosti považovat za běžné chyby. Oznámení o zranitelnostech nebudou prioritně řešena a budou opravována, jakmile se objeví volný čas. Informace o podstatě zranitelnosti budou zveřejněny okamžitě, aniž by čekaly na vytvoření opravy a její šíření v distribucích a operačních systémech. Nick si také vzal zpět oprávnění správce knihovny libxslt a vyjádřil pochybnosti, zda se najde někdo, kdo by byl ochoten převzít její podporu.
Do popisu projektu libxml2 byla přidána poznámka, která uvádí, že knihovna byla napsána nadšenci, je spravována jedním dobrovolníkem, špatně testována, napsána v jazyce pracujícím bezpečně s pamětí, obsahuje mnoho zranitelností a nedoporučuje se pro zpracování nedůvěryhodných dat. Oznámení o problémech se zabezpečením je třeba posílat prostřednictvím oficiální veřejné systému sledování chyb a budou zpracovávána stejně jako jakékoli jiné chyby. Za zavřenými dveřmi nebudou zranitelnosti dále opravovány a všechny existující informace o bezpečnostních problémech budou okamžitě zveřejněny bez ohledu na požadavky na utajení do určeného data a bez odkladu zveřejnění informací do vydání.
Předpokládá se, že přechod na zpracovávání zranitelností jako běžných chyb umožní Nickovi soustředit se na svou hlavní práci na libxml2, aniž by se musel přerušovat neplánovanými úkoly. V současném stavu musí Nick trávit několik hodin týdně zpracováváním oznámení o zranitelnostech a přípravou oprav, což vytváří značnou zátěž s ohledem na to, že správa probíhá na čistém nadšení.
Je poznamenáno, že skrývání informací o zranitelnostech do doby publikace aktualizací a metriky jako OpenSSF Scorecard je pouze pokus velkých společností, jak vyvolat u správců pocit viny a přinutit je pracovat zdarma. Kladení dalších požadavků na dobrovolné správce, kteří pracují bez kompenzace, je označeno za zhoubnou praxi.
Podle Nika knihovna libxml2 nedosahuje úrovně kvality potřebné pro použití v prohlížečích a operačních systémech. Přesto velké společnosti, jako jsou Apple, Google a Microsoft, začaly používat libxml2 ve svých operačních systémech a produktech. Tyto akce jsou označovány za nezodpovědné a prováděná práce je pokusem zbavit se symptomů, nikoli odstranit příčinu problémů. Podle Nika by pro projekt bylo lepší, kdyby zmíněné společnosti přestaly libxml2 používat.
Zdroj: opennet.ru
