{"id":137993,"date":"2025-06-22T11:11:54","date_gmt":"2025-06-22T09:11:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/soprovozhdayushhij-libxml2-otkazalsya-ot-osobogo-otnosheniya-k-ustraneniyu-uyazvimostej"},"modified":"2025-06-22T11:11:54","modified_gmt":"2025-06-22T09:11:54","slug":"soprovozhdayushhij-libxml2-otkazalsya-ot-osobogo-otnosheniya-k-ustraneniyu-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/soprovozhdayushhij-libxml2-otkazalsya-ot-osobogo-otnosheniya-k-ustraneniyu-uyazvimostej","title":{"rendered":"Der betreuende libxml2 hat sich vom besonderen Umgang mit der Behebung von Sicherheitsanf\u00e4lligkeiten zur\u00fcckgezogen.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nick Wellnhofer, der die libxml2-Bibliothek betreut, hat angek\u00fcndigt, dass er k\u00fcnftig Sicherheitsanf\u00e4lligkeiten wie gew\u00f6hnliche Fehler behandeln wird. Meldungen \u00fcber Sicherheitsanf\u00e4lligkeiten werden nicht priorit\u00e4r behandelt, sondern behoben, wenn es die Zeit erlaubt. Informationen zu den Sicherheitsanf\u00e4lligkeiten werden sofort \u00f6ffentlich zug\u00e4nglich gemacht, ohne auf die Erstellung eines Patches und die Verbreitung einer L\u00f6sung in den Distributionen und Betriebssystemen zu warten. Nick hat auch seine Rolle als Betreuer der libxslt-Bibliothek niedergelegt und \u00e4u\u00dferte Zweifel daran, dass sich jemand finden l\u00e4sst, der deren Unterst\u00fctzung \u00fcbernehmen m\u00f6chte. <\/p>\n
In die Projektbeschreibung von libxml2 wurde eine Anmerkung aufgenommen, die darauf hinweist, dass die Bibliothek von Enthusiasten geschrieben wurde, von einem Freiwilligen betreut wird, schlecht getestet ist, in einer speicherunsicheren Sprache geschrieben wurde, zahlreiche Sicherheitsanf\u00e4lligkeiten enth\u00e4lt und nicht f\u00fcr die Verarbeitung unzuverl\u00e4ssiger Daten empfohlen wird. Sicherheitsprobleme sollten \u00fcber das offizielle \u00f6ffentliche Bug-Tracking-System gemeldet werden und werden wie andere Fehler behandelt. Hinter verschlossenen T\u00fcren werden keine Sicherheitsanf\u00e4lligkeiten mehr behoben, und alle verf\u00fcgbaren Informationen zu Sicherheitsproblemen werden sofort \u00f6ffentlich zug\u00e4nglich gemacht, unabh\u00e4ngig von Vertraulichkeitsanforderungen bis zu einem bestimmten Datum und ohne Verz\u00f6gerung bei der Offenlegung bis zum Release. <\/p>\n
Es wird angenommen, dass die Behandlung von Sicherheitsanf\u00e4lligkeiten als normale Fehler es Nic erm\u00f6glicht, sich auf die Hauptarbeit an libxml2 zu konzentrieren, ohne von au\u00dferplanm\u00e4\u00dfigen Aufgaben abgelenkt zu werden. Derzeit muss Nic mehrere Stunden pro Woche mit der Bearbeitung von Sicherheitsmeldungen und der Erstellung von Patches verbringen, was eine erhebliche Belastung darstellt, da die Wartung ausschlie\u00dflich aus reiner Begeisterung erfolgt. <\/p>\n
Es wird angemerkt, dass das Verbergen von Informationen \u00fcber Sicherheitsanf\u00e4lligkeiten bis zur Ver\u00f6ffentlichung von Updates und Metriken wie dem OpenSSF Scorecard lediglich ein Versuch gro\u00dfer Unternehmen ist, bei den Betreuern ein Schuldgef\u00fchl zu erzeugen und sie zur unentgeltlichen Arbeit zu bewegen. Die Erhebung zus\u00e4tzlicher Anforderungen an ehrenamtliche Betreuer, die ohne Verg\u00fctung arbeiten, wird als sch\u00e4dliche Praxis bezeichnet. <\/p>\n
Laut Nick hat die Bibliothek libxml2 nicht die Qualit\u00e4t, die f\u00fcr den Einsatz in Browsern und Betriebssystemen geeignet ist. Dennoch haben gro\u00dfe Unternehmen wie Apple, Google und Microsoft begonnen, libxml2 in ihren Betriebssystemen und Produkten zu verwenden. Solche Ma\u00dfnahmen werden als verantwortungslos bezeichnet, und die durchgef\u00fchrte Arbeit ist ein Versuch, Symptome zu beseitigen, anstatt die Ursache der Probleme zu beheben. Nick ist der Meinung, dass es f\u00fcr das Projekt besser w\u00e4re, wenn die genannten Unternehmen die Nutzung von libxml2 einstellen w\u00fcrden. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"