Nick Wellnhofer, umsjónarmaður libxml2 bókasafnsins, tilkynnti að hann myndi nú meðhöndla veikleika sem venjulegar villur. Skýrslur um veikleika yrðu ekki forgangsraðaðar heldur lagfærðar eftir því sem tíminn leyfir. Upplýsingar um eðli veikleikans yrðu gerðar aðgengilegar almenningi strax, án þess að bíða eftir að uppfærsla yrði búin til og lagfæringin yrði dreift á milli dreifinga og stýrikerfa. Nick sagði einnig af sér sem umsjónarmaður libxslt bókasafnsins og lýsti yfir efasemdum um að nokkur væri tilbúinn að taka að sér stuðning þess.
Athugasemd hefur verið bætt við lýsingu libxml2 verkefnisins þar sem fram kemur að bókasafnið er skrifað af áhugamönnum, viðhaldið af einum sjálfboðaliði, illa prófað, skrifað á tungumáli sem er óöruggt með minni, inniheldur marga veikleika og er ekki mælt með til að meðhöndla ótrausta gögn. Öryggisvandamál ættu að vera tilkynnt í gegnum venjulegt opinbert vandamálaeftirlitskerfi og verða meðhöndluð eins og hvert annað vandamál. Engir fleiri veikleikar verða lagfærðir fyrir luktum dyrum og öll þekkt öryggisvandamál verða þegar í stað gerð aðgengileg almenningi, óháð trúnaðarskyldu fyrr en á tilteknum degi, og án þess að fresta upplýsingagjöf þar til það er gefið út.
Það er gert ráð fyrir að með því að skipta yfir í að meðhöndla veikleika sem reglulegar villur geti Nick einbeitt sér að aðalverkinu í libxml2, án truflana frá ótímabundnum verkefnum. Í núverandi mynd þarf Nick að eyða nokkrum klukkustundum í viku í að vinna úr veikleikaskýrslum og undirbúa lagfæringar, sem skapar nokkuð mikið álag miðað við að viðhald er unnið af einlægum áhuga.
Það er tekið fram að það að fela upplýsingar um veikleika áður en uppfærslur og mælikvarðar eins og OpenSSF Scorecard eru birtir er einungis tilraun stórfyrirtækja til að láta viðhaldsaðila finna til sektar og neyða þá til að vinna frítt. Að gera frekari kröfur til sjálfboðaliða viðhaldsaðila sem vinna án launa er kallað skaðleg venja.
Að sögn Nicks er libxml2 ekki á þeim gæðastigi sem hentar til notkunar í vöfrum og stýrikerfum. Hins vegar hafa stórfyrirtæki eins og Apple, Google og Microsoft byrjað að nota libxml2 í stýrikerfum sínum og vörum. Slíkar aðgerðir eru kallaðar ábyrgðarlausar og vinnan sem verið er að vinna er tilraun til að losna við einkenni, ekki að útrýma orsök vandamálanna. Að sögn Nicks væri betra fyrir verkefnið ef nefnd fyrirtæki hættu að nota libxml2.
Heimild: opennet.ru
