{"id":137993,"date":"2025-06-22T11:11:54","date_gmt":"2025-06-22T09:11:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/soprovozhdayushhij-libxml2-otkazalsya-ot-osobogo-otnosheniya-k-ustraneniyu-uyazvimostej"},"modified":"2025-06-22T11:11:54","modified_gmt":"2025-06-22T09:11:54","slug":"soprovozhdayushhij-libxml2-otkazalsya-ot-osobogo-otnosheniya-k-ustraneniyu-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/soprovozhdayushhij-libxml2-otkazalsya-ot-osobogo-otnosheniya-k-ustraneniyu-uyazvimostej","title":{"rendered":"Le mainteneur de libxml2 a renonc\u00e9 \u00e0 un traitement particulier des vuln\u00e9rabilit\u00e9s","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nick Wellnhofer, responsable de la biblioth\u00e8que libxml2, a annonc\u00e9 qu'il traiterait d\u00e9sormais les vuln\u00e9rabilit\u00e9s comme des erreurs ordinaires. Les rapports de vuln\u00e9rabilit\u00e9s ne seront plus prioritaires et seront corrig\u00e9s au fur et \u00e0 mesure que le temps le permettra. Les informations concernant la nature de la vuln\u00e9rabilit\u00e9 seront mises \u00e0 disposition du public imm\u00e9diatement, sans attendre la cr\u00e9ation d'un correctif et la distribution de la mise \u00e0 jour dans les distributions et syst\u00e8mes d'exploitation. Nick a \u00e9galement d\u00e9missionn\u00e9 de ses fonctions de responsable de la biblioth\u00e8que libxslt et a exprim\u00e9 des doutes quant \u00e0 la possibilit\u00e9 de trouver quelqu'un pr\u00eat \u00e0 en assurer le soutien. <\/p>\n
Une note a \u00e9t\u00e9 ajout\u00e9e \u00e0 la description du projet libxml2, pr\u00e9cisant que la biblioth\u00e8que est \u00e9crite par des passionn\u00e9s, est maintenue par un seul volontaire, mal test\u00e9e, \u00e9crite dans un langage qui n'est pas s\u00e9curis\u00e9 en mati\u00e8re de gestion de la m\u00e9moire, contient de nombreuses vuln\u00e9rabilit\u00e9s et n'est pas recommand\u00e9e pour le traitement de donn\u00e9es peu fiables. Les rapports de probl\u00e8mes de s\u00e9curit\u00e9 doivent \u00eatre envoy\u00e9s via le syst\u00e8me public de suivi des bogues habituel, et ils seront trait\u00e9s comme n'importe quelle autre erreur. Derri\u00e8re des portes closes, les vuln\u00e9rabilit\u00e9s ne seront plus corrig\u00e9es et toutes les informations relatives aux probl\u00e8mes de s\u00e9curit\u00e9 seront publi\u00e9es imm\u00e9diatement, ind\u00e9pendamment des exigences de non-divulgation jusqu'\u00e0 une date donn\u00e9e et sans diff\u00e9rer la divulgation jusqu'\u00e0 la sortie. <\/p>\n
On suppose que le passage au traitement des vuln\u00e9rabilit\u00e9s comme des erreurs ordinaires permettra \u00e0 Nick de se concentrer sur le travail principal sur libxml2, sans \u00eatre distrait par des t\u00e2ches impr\u00e9vues. Dans sa forme actuelle, Nick doit consacrer plusieurs heures par semaine \u00e0 traiter les rapports de vuln\u00e9rabilit\u00e9s et \u00e0 pr\u00e9parer des correctifs, ce qui cr\u00e9e une charge de travail relativement importante \u00e9tant donn\u00e9 que la maintenance est effectu\u00e9e par pure passion. <\/p>\n
Il est not\u00e9 que cacher les informations sur les vuln\u00e9rabilit\u00e9s jusqu'\u00e0 la publication des mises \u00e0 jour et des m\u00e9triques telles que l'OpenSSF Scorecard est juste une tentative de grandes entreprises pour faire \u00e9prouver aux mainteneurs un sentiment de culpabilit\u00e9 et les pousser \u00e0 travailler gratuitement. Imposer des exigences suppl\u00e9mentaires aux mainteneurs b\u00e9n\u00e9voles travaillant sans compensation a \u00e9t\u00e9 qualifi\u00e9 de pratique nuisible. <\/p>\n
Selon Nick, la biblioth\u00e8que libxml2 ne poss\u00e8de pas un niveau de qualit\u00e9 suffisant pour \u00eatre utilis\u00e9e dans les navigateurs et les syst\u00e8mes d'exploitation. Cependant, de grandes entreprises comme Apple, Google et Microsoft ont commenc\u00e9 \u00e0 utiliser libxml2 dans leurs syst\u00e8mes d'exploitation et produits. De telles actions sont qualifi\u00e9es d'irresponsables, et les efforts entrepris sont consid\u00e9r\u00e9s comme des tentatives de traiter les sympt\u00f4mes plut\u00f4t que de r\u00e9soudre les causes des probl\u00e8mes. Selon Nick, il serait pr\u00e9f\u00e9rable pour le projet que les entreprises mentionn\u00e9es cessent d'utiliser libxml2. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"