Nick Wellnhofer, der die libxml2-Bibliothek betreut, hat angekündigt, dass er künftig Sicherheitsanfälligkeiten wie gewöhnliche Fehler behandeln wird. Meldungen über Sicherheitsanfälligkeiten werden nicht prioritär behandelt, sondern behoben, wenn es die Zeit erlaubt. Informationen zu den Sicherheitsanfälligkeiten werden sofort öffentlich zugänglich gemacht, ohne auf die Erstellung eines Patches und die Verbreitung einer Lösung in den Distributionen und Betriebssystemen zu warten. Nick hat auch seine Rolle als Betreuer der libxslt-Bibliothek niedergelegt und äußerte Zweifel daran, dass sich jemand finden lässt, der deren Unterstützung übernehmen möchte.
In die Projektbeschreibung von libxml2 wurde eine Anmerkung aufgenommen, die darauf hinweist, dass die Bibliothek von Enthusiasten geschrieben wurde, von einem Freiwilligen betreut wird, schlecht getestet ist, in einer speicherunsicheren Sprache geschrieben wurde, zahlreiche Sicherheitsanfälligkeiten enthält und nicht für die Verarbeitung unzuverlässiger Daten empfohlen wird. Sicherheitsprobleme sollten über das offizielle öffentliche Bug-Tracking-System gemeldet werden und werden wie andere Fehler behandelt. Hinter verschlossenen Türen werden keine Sicherheitsanfälligkeiten mehr behoben, und alle verfügbaren Informationen zu Sicherheitsproblemen werden sofort öffentlich zugänglich gemacht, unabhängig von Vertraulichkeitsanforderungen bis zu einem bestimmten Datum und ohne Verzögerung bei der Offenlegung bis zum Release.
Es wird angenommen, dass die Behandlung von Sicherheitsanfälligkeiten als normale Fehler es Nic ermöglicht, sich auf die Hauptarbeit an libxml2 zu konzentrieren, ohne von außerplanmäßigen Aufgaben abgelenkt zu werden. Derzeit muss Nic mehrere Stunden pro Woche mit der Bearbeitung von Sicherheitsmeldungen und der Erstellung von Patches verbringen, was eine erhebliche Belastung darstellt, da die Wartung ausschließlich aus reiner Begeisterung erfolgt.
Es wird angemerkt, dass das Verbergen von Informationen über Sicherheitsanfälligkeiten bis zur Veröffentlichung von Updates und Metriken wie dem OpenSSF Scorecard lediglich ein Versuch großer Unternehmen ist, bei den Betreuern ein Schuldgefühl zu erzeugen und sie zur unentgeltlichen Arbeit zu bewegen. Die Erhebung zusätzlicher Anforderungen an ehrenamtliche Betreuer, die ohne Vergütung arbeiten, wird als schädliche Praxis bezeichnet.
Laut Nick ist die libxml2-Bibliothek nicht von der Qualität, die für die Verwendung in Browsern und Betriebssystemen geeignet ist. Dennoch haben große Unternehmen wie Apple, Google und Microsoft begonnen, libxml2 in ihren Betriebssystemen und Produkten zu verwenden. Solche Handlungen werden als verantwortungslos bezeichnet, da die durchgeführten Arbeiten als Versuche angesehen werden, Symptome zu beseitigen, anstatt die Ursachen der Probleme zu beheben. Nick ist der Meinung, dass es für das Projekt besser wäre, wenn die genannten Unternehmen die Nutzung von libxml2 einstellen würden.
Quelle: opennet.ru
