Nick Wellnhofer, der die Bibliothek libxml2 betreut, hat angekündigt, dass Schwachstellen künftig als reguläre Fehler behandelt werden. Meldungen über Schwachstellen werden nicht vorrangig behandelt, sondern nach Verfügbarkeit von Zeit beseitigt. Informationen über den Inhalt der Schwachstelle werden sofort öffentlich zugänglich gemacht, ohne auf die Bildung eines Patches und die Verteilung von Korrekturen in Distributionen und Betriebssystemen zu warten. Nick hat auch seine Verantwortung als Betreuer der Bibliothek libxslt niedergelegt und äußerte Bedenken, dass sich jemand finden wird, der bereit ist, ihre Unterstützung zu übernehmen.
In die Projektbeschreibung von libxml2 wurde ein Hinweis aufgenommen, der darauf hinweist, dass die Bibliothek von Enthusiasten geschrieben, von einem Freiwilligen betreut, schlecht getestet, in einer speicherunsicheren Sprache geschrieben ist, zahlreiche Schwachstellen enthält und nicht empfohlen wird, um mit nicht vertrauenswürdigen Daten umzugehen. Meldungen über Sicherheitsprobleme sollen über das interne öffentliche Fehlerverfolgungssystem gesendet werden und werden wie alle anderen Fehler behandelt. Hinter verschlossenen Türen werden Schwachstellen nicht mehr behoben, und alle Informationen über Sicherheitsprobleme werden sofort öffentlich zugänglich gemacht, unabhängig von den Anforderungen an die Geheimhaltung bis zu einem bestimmten Datum und ohne den Veröffentlichungstermin zu verschieben.
Es wird angenommen, dass die Behandlung von Schwachstellen als reguläre Fehler Nick die Möglichkeit gibt, sich auf die Hauptarbeit an libxml2 zu konzentrieren, ohne durch unvorhergesehene Aufgaben unterbrochen zu werden. Derzeit muss Nick mehrere Stunden pro Woche aufwenden, um Meldungen über Schwachstellen zu bearbeiten und Patches vorzubereiten, was angesichts der Tatsache, dass die Betreuung auf reinem Enthusiasmus basiert, eine erhebliche Belastung darstellt.
Es wird angemerkt, dass das Verbergen von Informationen über Schwachstellen bis zur Veröffentlichung von Updates und Metriken wie dem OpenSSF Scorecard nur ein Versuch größerer Unternehmen ist, bei den Betreuern ein Schuldgefühl zu erzeugen und sie dazu zu bringen, unbezahlte Arbeit zu leisten. Die Erhebung zusätzlicher Anforderungen an freiwillige Betreuer, die ohne Entlohnung arbeiten, wird als schädliche Praxis bezeichnet.
Laut Nick ist die Bibliothek libxml2 nicht von der notwendigen Qualität, um in Webbrowsern und Betriebssystemen verwendet zu werden. Dennoch haben große Unternehmen wie Apple, Google und Microsoft begonnen, libxml2 in ihren Betriebssystemen und Produkten zu verwenden. Solche Handlungen wurden als unverantwortlich bezeichnet, und die durchgeführten Arbeiten als Versuche, die Symptome zu bekämpfen, anstatt die Ursachen der Probleme zu beseitigen. Nick ist der Meinung, dass es für das Projekt besser wäre, wenn die genannten Unternehmen die Nutzung von libxml2 einstellen würden.
Quelle: opennet.ru
