Nick Wellnhofer, który opiekuje się biblioteką libxml2, ogłosił, że od teraz będzie traktował luki zabezpieczeń jak zwykłe błędy. Informacje o lukach nie będą rozpatrywane priorytetowo, lecz będą naprawiane w miarę wolnego czasu. Informacje na temat istoty luki będą publikowane publicznie natychmiast, bez czekania na stworzenie łaty i rozesłanie poprawek w dystrybucjach oraz systemach operacyjnych. Nick również zrezygnował z obowiązków opiekuna biblioteki libxslt i wyraził wątpliwość, co do znalezienia kogoś, kto byłby gotów przejąć jej wsparcie.
W opisie projektu libxml2 dodano uwagę, wskazującą na to, że biblioteka jest napisania przez entuzjastów, wspierana przez jednego wolontariusza, słabo przetestowana, napisana w języku narażonym na problemy z pamięcią, zawiera wiele luk i nie jest rekomendowana do przetwarzania niewiarygodnych danych. Problemy z bezpieczeństwem mają być zgłaszane za pośrednictwem oficjalnego publicznego systemu śledzenia błędów i będą rozpatrywane jak inne błędy. Za zamkniętymi drzwiami luki nie będą już usuwane, a wszystkie dostępne informacje o problemach z bezpieczeństwem będą publikowane od razu w otwartym dostępie, niezależnie od wymagań dotyczących poufności do określonej daty oraz bez odkładania ujawnienia informacji do wydania.
Zakłada się, że przejście do traktowania luk zabezpieczeń jak zwykłych błędów pozwoli Nickowi skupić się na podstawowej pracy nad libxml2, nie przerywając się na nieplanowe zadania. W obecnej formie Nick musi spędzać kilka godzin tygodniowo na przetwarzaniu informacji o lukach zabezpieczeń i przygotowywaniu łatek, co stwarza całkiem duże obciążenie biorąc pod uwagę, że opieka jest wykonywana z czystego entuzjazmu.
Zauważono, że ukrywanie informacji o lukach do publikacji aktualizacji oraz metryki typu OpenSSF Scorecard to jedynie próba dużych firm wywołania poczucia winy u opiekunów i zmuszenia ich do pracy za darmo. Nakładanie dodatkowych wymagań na opiekunów-wolontariuszy, którzy pracują bez wynagrodzenia, określono jako szkodliwą praktykę.
Według Nika, biblioteka libxml2 nie jest wystarczająco wysokiej jakości, aby mogła być używana w przeglądarkach i systemach operacyjnych. Mimo to, duże firmy, takie jak Apple, Google i Microsoft, zaczęły używać libxml2 w swoich systemach operacyjnych i produktach. Takie działania są uznawane za nieodpowiedzialne, a prowadzona praca - za próby pozbycia się objawów, a nie usunięcia przyczyn problemów. Według Nika byłoby lepiej, gdyby wspomniane firmy zaprzestały korzystania z libxml2.
Źródło: opennet.ru
