Nick Wellnhofer, der vedligeholder libxml2-biblioteket, har bekendtgjort, at han fremover vil betragte sårbarheder som almindelige fejl. Sårbarhedsrapporter vil ikke blive prioriteret, men vil blive rettet, når der er tid. Information om sårbarhedens natur vil blive offentliggjort straks, uden at vente på udarbejdelsen af en patch og distribution af reparationen til distributioner og operativsystemer. Nick har også trukket sig som vedligeholder af libxslt-biblioteket og udtrykt tvivl om, hvorvidt der vil være nogen, der er villige til at påtage sig dets støtte.
Beskrivelsen af libxml2-projektet er blevet tilføjet et notat, der angiver, at biblioteket er skrevet af entusiaster, vedligeholdes af en frivillig, er dårligt testet, skrevet i et sprog, der arbejder usikkert med hukommelse, indeholder mange sårbarheder og ikke anbefales til behandling af upålidelige data. Problemer med sikkerheden skal rapporteres via det officielle offentlige fejlsporing-system, og de vil blive behandlet som enhver anden fejl. Sårbarheder vil ikke længere blive skjult bag lukkede døre, og alle tilgængelige oplysninger om sikkerhedsproblemer vil straks blive offentliggjort, uanset kravene om fortrolighed inden for en bestemt dato og uden udsættelse af oplysningernes offentliggørelse indtil udgivelsen.
Det antages, at skiftet til behandling af sårbarheder som almindelige fejl vil give Nick mulighed for at fokusere på det primære arbejde med libxml2, uden at blive afbrudt af uventede opgaver. I sin nuværende form tvinges Nick til at bruge flere timer om ugen på at håndtere sårbarhedsrapporter og forberede patches, hvilket skaber en betydelig belastning, da vedligeholdelsen kun foregår på ren entusiasme.
Det bemærkes, at skjulingen af oplysninger om sårbarheder indtil opdateringer offentliggøres og metrikker som OpenSSF Scorecard blot er et forsøg fra store virksomheder på at få vedligeholderne til at føle skyld og tvinge dem til at arbejde gratis. At stille yderligere krav til frivillige vedligeholdere, der arbejder uden kompensation, kaldes en skadelig praksis.
Ifølge Nick er bibliotektet libxml2 ikke af en kvalitet, der er egnet til brug i browsere og operativsystemer. Ikke desto mindre er store virksomheder som Apple, Google og Microsoft begyndt at bruge libxml2 i deres operativsystemer og produkter. Sådanne handlinger er blevet kaldt uansvarlige, og arbejdet der udføres anses for at være forsøg på at fjerne symptomerne snarere end at løse årsagen til problemerne. Ifølge Nick ville det være bedre for projektet, hvis de nævnte virksomheder stoppede med at bruge libxml2.
Kilde: opennet.ru
