{"id":137993,"date":"2025-06-22T11:11:54","date_gmt":"2025-06-22T09:11:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/soprovozhdayushhij-libxml2-otkazalsya-ot-osobogo-otnosheniya-k-ustraneniyu-uyazvimostej"},"modified":"2025-06-22T11:11:54","modified_gmt":"2025-06-22T09:11:54","slug":"soprovozhdayushhij-libxml2-otkazalsya-ot-osobogo-otnosheniya-k-ustraneniyu-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/soprovozhdayushhij-libxml2-otkazalsya-ot-osobogo-otnosheniya-k-ustraneniyu-uyazvimostej","title":{"rendered":"Der Betreuer von libxml2 hat auf eine besondere Behandlung bei der Behebung von Sicherheitsanf\u00e4lligkeiten verzichtet.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nick Wellnhofer, der die Bibliothek libxml2 betreut, hat angek\u00fcndigt, dass Schwachstellen k\u00fcnftig als regul\u00e4re Fehler behandelt werden. Meldungen \u00fcber Schwachstellen werden nicht vorrangig behandelt, sondern nach Verf\u00fcgbarkeit von Zeit beseitigt. Informationen \u00fcber den Inhalt der Schwachstelle werden sofort \u00f6ffentlich zug\u00e4nglich gemacht, ohne auf die Bildung eines Patches und die Verteilung von Korrekturen in Distributionen und Betriebssystemen zu warten. Nick hat auch seine Verantwortung als Betreuer der Bibliothek libxslt niedergelegt und \u00e4u\u00dferte Bedenken, dass sich jemand finden wird, der bereit ist, ihre Unterst\u00fctzung zu \u00fcbernehmen. <\/p>\n
In die Projektbeschreibung von libxml2 wurde ein Hinweis aufgenommen, der darauf hinweist, dass die Bibliothek von Enthusiasten geschrieben, von einem Freiwilligen betreut, schlecht getestet, in einer speicherunsicheren Sprache geschrieben ist, zahlreiche Schwachstellen enth\u00e4lt und nicht empfohlen wird, um mit nicht vertrauensw\u00fcrdigen Daten umzugehen. Meldungen \u00fcber Sicherheitsprobleme sollen \u00fcber das interne \u00f6ffentliche Fehlerverfolgungssystem gesendet werden und werden wie alle anderen Fehler behandelt. Hinter verschlossenen T\u00fcren werden Schwachstellen nicht mehr behoben, und alle Informationen \u00fcber Sicherheitsprobleme werden sofort \u00f6ffentlich zug\u00e4nglich gemacht, unabh\u00e4ngig von den Anforderungen an die Geheimhaltung bis zu einem bestimmten Datum und ohne den Ver\u00f6ffentlichungstermin zu verschieben. <\/p>\n
Es wird angenommen, dass die Behandlung von Schwachstellen als regul\u00e4re Fehler Nick die M\u00f6glichkeit gibt, sich auf die Hauptarbeit an libxml2 zu konzentrieren, ohne durch unvorhergesehene Aufgaben unterbrochen zu werden. Derzeit muss Nick mehrere Stunden pro Woche aufwenden, um Meldungen \u00fcber Schwachstellen zu bearbeiten und Patches vorzubereiten, was angesichts der Tatsache, dass die Betreuung auf reinem Enthusiasmus basiert, eine erhebliche Belastung darstellt. <\/p>\n
Es wird angemerkt, dass das Verbergen von Informationen \u00fcber Schwachstellen bis zur Ver\u00f6ffentlichung von Updates und Metriken wie dem OpenSSF Scorecard nur ein Versuch gr\u00f6\u00dferer Unternehmen ist, bei den Betreuern ein Schuldgef\u00fchl zu erzeugen und sie dazu zu bringen, unbezahlte Arbeit zu leisten. Die Erhebung zus\u00e4tzlicher Anforderungen an freiwillige Betreuer, die ohne Entlohnung arbeiten, wird als sch\u00e4dliche Praxis bezeichnet. <\/p>\n
Laut Nick hat die Bibliothek libxml2 nicht die Qualit\u00e4t, die f\u00fcr den Einsatz in Browsern und Betriebssystemen geeignet ist. Dennoch haben gro\u00dfe Unternehmen wie Apple, Google und Microsoft begonnen, libxml2 in ihren Betriebssystemen und Produkten zu verwenden. Solche Handlungen werden als unverantwortlich bezeichnet, und die durchgef\u00fchrten Arbeiten sind Versuche, die Symptome zu beseitigen, anstatt die Ursachen der Probleme zu beheben. Nick ist der Meinung, dass es f\u00fcr das Projekt besser w\u00e4re, wenn die genannten Unternehmen die Nutzung von libxml2 einstellen w\u00fcrden. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"