{"id":137993,"date":"2025-06-22T11:11:54","date_gmt":"2025-06-22T09:11:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/soprovozhdayushhij-libxml2-otkazalsya-ot-osobogo-otnosheniya-k-ustraneniyu-uyazvimostej"},"modified":"2025-06-22T11:11:54","modified_gmt":"2025-06-22T09:11:54","slug":"soprovozhdayushhij-libxml2-otkazalsya-ot-osobogo-otnosheniya-k-ustraneniyu-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/soprovozhdayushhij-libxml2-otkazalsya-ot-osobogo-otnosheniya-k-ustraneniyu-uyazvimostej","title":{"rendered":"Il maintainer di libxml2 ha rinunciato a un trattamento speciale per la risoluzione delle vulnerabilit\u00e0","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nick Wellnhofer, il mantenitore della libreria libxml2, ha annunciato che d'ora in poi tratter\u00e0 le vulnerabilit\u00e0 come semplici errori. I rapporti sulle vulnerabilit\u00e0 non saranno considerati prioritari e verranno corretti man mano che ci sar\u00e0 tempo disponibile. Le informazioni relative alla vulnerabilit\u00e0 saranno rese pubbliche immediatamente, senza aspettare la creazione di una patch e la distribuzione della correzione nei pacchetti e nei sistemi operativi. Nick ha anche rinunciato al suo ruolo di mantenitore della libreria libxslt e ha espresso dubbi sul fatto che ci sia qualcuno disposto a prendersi cura del supporto. <\/p>\n
Nella descrizione del progetto libxml2 \u00e8 stata aggiunta una nota che indica che la libreria \u00e8 scritta da appassionati, \u00e8 gestita da un volontario, \u00e8 poco testata, \u00e8 scritta in un linguaggio insicuro per la gestione della memoria, contiene numerose vulnerabilit\u00e0 ed \u00e8 sconsigliata per l'elaborazione di dati non affidabili. I report di problemi di sicurezza devono essere inviati attraverso il sistema pubblico di tracciamento errori e saranno trattati come qualsiasi altro errore. Le vulnerabilit\u00e0 non saranno pi\u00f9 risolte a porte chiuse e tutte le informazioni esistenti sui problemi di sicurezza saranno pubblicate in modo trasparente, indipendentemente dai requisiti di riservatezza fino a una data prestabilita e senza rinviare la divulgazione fino al rilascio. <\/p>\n
Si prevede che il passaggio alla gestione delle vulnerabilit\u00e0 come errori normali permetter\u00e0 a Nic di concentrarsi sul lavoro principale su libxml2, senza interruzioni dovute a compiti imprevisti. Nella situazione attuale, Nic deve dedicare diverse ore alla settimana alla gestione delle segnalazioni di vulnerabilit\u00e0 e alla preparazione delle patch, il che comporta un carico piuttosto consistente, considerando che il supporto \u00e8 fornito solo per pura passione. <\/p>\n
Si osserva che nascondere informazioni sulle vulnerabilit\u00e0 fino alla pubblicazione degli aggiornamenti e metriche come OpenSSF Scorecard \u00e8 solo un tentativo da parte delle grandi aziende di indurre i mantenitori a provare sensi di colpa e a lavorare gratuitamente. L'imposizione di requisiti aggiuntivi ai volontari che forniscono supporto senza compenso \u00e8 stata definita una pratica dannosa. <\/p>\n
Secondo Nick, la libreria libxml2 non ha un livello di qualit\u00e0 adeguato per l'uso nei browser e nei sistemi operativi. Tuttavia, grandi aziende come Apple, Google e Microsoft hanno iniziato a utilizzare libxml2 nei loro sistemi operativi e prodotti. Queste azioni sono state definite irresponsabili, e il lavoro svolto \u00e8 visto come tentativi di eliminare i sintomi anzich\u00e9 risolvere le cause dei problemi. Secondo Nick, sarebbe migliore per il progetto se le aziende menzionate cessassero di utilizzare libxml2. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"