{"id":137993,"date":"2025-06-22T11:11:54","date_gmt":"2025-06-22T09:11:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/soprovozhdayushhij-libxml2-otkazalsya-ot-osobogo-otnosheniya-k-ustraneniyu-uyazvimostej"},"modified":"2025-06-22T11:11:54","modified_gmt":"2025-06-22T09:11:54","slug":"soprovozhdayushhij-libxml2-otkazalsya-ot-osobogo-otnosheniya-k-ustraneniyu-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/soprovozhdayushhij-libxml2-otkazalsya-ot-osobogo-otnosheniya-k-ustraneniyu-uyazvimostej","title":{"rendered":"Begeleider van libxml2 heeft speciale behandeling van kwetsbaarheden opgegeven","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nick Wellnhofer, de maintainer van de libxml2-bibliotheek, heeft aangekondigd dat hij kwetsbaarheden voortaan zal beschouwen als gewone bugs. Meldingen over kwetsbaarheden worden niet meer als prioriteit behandeld en zullen worden opgelost wanneer er tijd beschikbaar is. Informatie over de aard van kwetsbaarheden zal direct openbaar worden gemaakt, zonder te wachten op een patch of de distributie van de oplossing in distributies en besturingssystemen. Nick heeft ook zijn verantwoordelijkheden voor de libxslt-bibliotheek neergelegd en uitgedrukt dat hij twijfels heeft of er iemand zal zijn die de ondersteuning op zich wil nemen. <\/p>\n
In de projectomschrijving van libxml2 is een opmerking toegevoegd waarin wordt aangegeven dat de bibliotheek door enthousiastelingen is geschreven, wordt onderhouden door \u00e9\u00e9n vrijwilliger, slecht is getest, is geschreven in een taal die onveilig omgaat met geheugen, talrijke kwetsbaarheden bevat en niet wordt aanbevolen voor het verwerken van niet-vertrouwelijke gegevens. Meldingen over beveiligingsproblemen dienen via het gebruikelijke openbare foutenvolgsysteem te worden verzonden en zullen worden behandeld zoals alle andere fouten. Achter gesloten deuren zullen kwetsbaarheden niet meer worden verholpen en alle beschikbare informatie over beveiligingsproblemen zal onmiddellijk openbaar worden gemaakt, ongeacht geheimhoudingsvereisten tot een bepaalde datum en zonder het vrijgeven van informatie uit te stellen tot de release. <\/p>\n
Er wordt aangenomen dat de overgang naar het behandelen van kwetsbaarheden als gewone fouten Nick in staat zal stellen zich te concentreren op zijn hoofdwerk met libxml2, zonder onderbroken te worden door ad-hoctaken. Momenteel moet Nick enkele uren per week besteden aan het verwerken van meldingen over kwetsbaarheden en het voorbereiden van patches, wat een aanzienlijke belasting met zich meebrengt, gezien het feit dat het onderhoud op pure enthousiasme is gebaseerd. <\/p>\n
Het wordt opgemerkt dat het verbergen van informatie over kwetsbaarheden tot de publicatie van updates en metrics zoals de OpenSSF Scorecard slechts een poging is van grote bedrijven om de maintainers een schuldgevoel te geven en ze te dwingen gratis te werken. Het stellen van aanvullende eisen aan volunteer maintainers, die zonder compensatie werken, wordt als een schadelijke praktijk beschouwd. <\/p>\n
Volgens Nick heeft de libxml2-bibliotheek niet de kwaliteit die nodig is voor gebruik in browsers en besturingssystemen. Desondanks zijn grote bedrijven zoals Apple, Google en Microsoft begonnen met het gebruik van libxml2 in hun besturingssystemen en producten. Dergelijke acties worden als onverantwoordelijk beschouwd, en het werk dat wordt verricht is een poging om symptomen te verhelpen in plaats van de oorzaak van de problemen aan te pakken. Volgens Nick zou het voor het project beter zijn als de genoemde bedrijven stopten met het gebruik van libxml2. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"