Nick Wellnhofer, kes libxml2 raamatukogu hooldaja, teatas, et nüüd hakatakse haavatavusi käsitlema kui tavalisi vigu. Haavatavuste teadete käsitlemine ei ole enam prioriteetne ja need parandatakse vastavalt vabale ajale. Teave haavatavuse olemuse kohta avaldatakse kohe, ilma et oodataks paranduse vormimist ja levitamist jaotustes ja operatsioonisüsteemides. Nick loobus ka libxslt raamatukogu hooldaja rollist ja kahtleb, kas keegi on valmis selle toetamise enda peale võtma.
libxml2 projekti kirjelduse juurde on lisatud märkus, et teeki arendavad entusiastid, mis on seotud ühe vabatahtlikuga, on halvasti testitud, kirjutatud keeles, mis ei ole mäluhalduses turvaline, sisaldab mitmeid haavojaid ja ei ole soovitatav usaldamatute andmete töötlemiseks. Turbeprobleemide teated tuleb saata ametliku avaliku veaparandussüsteemi kaudu ja need käsitletakse nagu ühtki muud viga. Uuendusi haavatavuste osas ei toimu enam kõrvalistele isikutele ning kõik olemasolevad andmed turbeprobleemide kohta avaldatakse kohe, olenemata konfidentsiaalsusnõuetest kuni määratud kuupäevani ja ilma teabe avaldamise edasilükkamiseta enne väljaandmist.
Eeldatakse, et haavatavuste käsitlemine tavaliste vigadena võimaldab Nicul keskenduda libxml2 põhitegevusele, katkestamata end ettenägematute ülesannetega. Praeguses olukorras peab Nicul kulutama mitu tundi nädalas haavatavuste raportite käsitlemisele ja patšide ettevalmistamisele, mis muudab koormuse üsna suureks, arvestades, et hooldust teostatakse puhtalt entusiasmi põhjal.
On märgitud, et teabe varjamine haavatavuste kohta enne uuenduste avaldamist ja metoodikad nagu OpenSSF Scorecard on vaid suurte ettevõtete katse tekitada hooldajates süütunnet ja sundida neid tasuta töötama. Täiendavate nõudmiste esitamine vabatahtlike hooldajate kohta, kes töötavad ilma tasu saamata, on nimetatud kahjulikuks praktikaks.
Nikki sõnul ei ole libxml2 raamatukogu kvaliteeditase piisav brauserite ja operatsioonisüsteemide kasutamiseks. Siiski, suured ettevõtted nagu Apple, Google ja Microsoft on hakanud libxml2-d oma operatsioonisüsteemides ja toodetes kasutama. Sellised teod on nimetatud vastutustundetuks ning tehtud töö on katse kõrvaldada sümptomeid, mitte lahendada probleemide põhjuseid. Niki arvates oleks projektile parem, kui nimetatud ettevõtted lõpetaksid libxml2 kasutamise.
Allikas: opennet.ru
