Nick Wellnhofer, responsável pela biblioteca libxml2, anunciou que começará a tratar vulnerabilidades como erros comuns. As notificações de vulnerabilidades não serão tratadas com prioridade e serão corrigidas à medida que houver tempo disponível. As informações sobre a vulnerabilidade serão tornadas públicas imediatamente, sem esperar pela formação de patches e pela disseminação das correções nas distribuições e sistemas operacionais. Nick também renunciou ao cargo de responsável pela biblioteca libxslt e expressou dúvidas sobre a possibilidade de alguém estar disposto a assumir seu suporte.
Foi adicionada uma nota à descrição do projeto libxml2 indicando que a biblioteca é escrita por entusiastas, é mantida por um voluntário, mal testada, escrita em uma linguagem que apresenta riscos de memória, contém várias vulnerabilidades e não é recomendada para processar dados não confiáveis. Notificações sobre questões de segurança devem ser enviadas através do sistema oficial de rastreamento de erros, e serão tratadas como quaisquer outros erros. As vulnerabilidades não serão mais corrigidas em segredo e todas as informações sobre problemas de segurança serão imediatamente publicadas de forma aberta, independentemente dos requisitos de confidencialidade até uma data determinada e sem atrasos na divulgação até o lançamento.
Esperamos que a mudança para tratar vulnerabilidades como erros comuns permita que Nick se concentre em seu trabalho principal na libxml2, sem se distrair com tarefas não planejadas. Na situação atual, Nick precisa gastar várias horas por semana lidando com notificações de vulnerabilidades e preparando patches, o que gera uma carga bastante significativa, considerando que a manutenção é realizada com base no puro entusiasmo.
Observa-se que esconder informações sobre vulnerabilidades até a publicação de atualizações e métricas como o OpenSSF Scorecard é apenas uma tentativa de grandes empresas de induzir os mantenedores a se sentirem culpados e a trabalhar de graça. A exigência de requisitos adicionais para mantenedores voluntários, que trabalham sem compensação, é chamada de prática prejudicial.
De acordo com Nick, a biblioteca libxml2 não possui qualidade suficiente para ser utilizada em navegadores e sistemas operacionais. No entanto, grandes empresas como Apple, Google e Microsoft começaram a usar libxml2 em seus sistemas e produtos. Essas ações foram consideradas irresponsáveis, e o trabalho realizado foi visto como tentativas de eliminar os sintomas, em vez de resolver a causa dos problemas. Na opinião de Nick, seria melhor para o projeto se as empresas mencionadas parassem de usar o libxml2.
Fonte: opennet.ru
