{"id":137993,"date":"2025-06-22T11:11:54","date_gmt":"2025-06-22T09:11:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/soprovozhdayushhij-libxml2-otkazalsya-ot-osobogo-otnosheniya-k-ustraneniyu-uyazvimostej"},"modified":"2025-06-22T11:11:54","modified_gmt":"2025-06-22T09:11:54","slug":"soprovozhdayushhij-libxml2-otkazalsya-ot-osobogo-otnosheniya-k-ustraneniyu-uyazvimostej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/soprovozhdayushhij-libxml2-otkazalsya-ot-osobogo-otnosheniya-k-ustraneniyu-uyazvimostej","title":{"rendered":"O mantenedor do libxml2 desistiu de tratar vulnerabilidades de forma especial","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nick Wellnhofer, respons\u00e1vel pela biblioteca libxml2, anunciou que come\u00e7ar\u00e1 a tratar vulnerabilidades como erros comuns. As notifica\u00e7\u00f5es de vulnerabilidades n\u00e3o ser\u00e3o tratadas com prioridade e ser\u00e3o corrigidas \u00e0 medida que houver tempo dispon\u00edvel. As informa\u00e7\u00f5es sobre a vulnerabilidade ser\u00e3o tornadas p\u00fablicas imediatamente, sem esperar pela forma\u00e7\u00e3o de patches e pela dissemina\u00e7\u00e3o das corre\u00e7\u00f5es nas distribui\u00e7\u00f5es e sistemas operacionais. Nick tamb\u00e9m renunciou ao cargo de respons\u00e1vel pela biblioteca libxslt e expressou d\u00favidas sobre a possibilidade de algu\u00e9m estar disposto a assumir seu suporte. <\/p>\n
Foi adicionada uma nota \u00e0 descri\u00e7\u00e3o do projeto libxml2 indicando que a biblioteca \u00e9 escrita por entusiastas, \u00e9 mantida por um volunt\u00e1rio, mal testada, escrita em uma linguagem que apresenta riscos de mem\u00f3ria, cont\u00e9m v\u00e1rias vulnerabilidades e n\u00e3o \u00e9 recomendada para processar dados n\u00e3o confi\u00e1veis. Notifica\u00e7\u00f5es sobre quest\u00f5es de seguran\u00e7a devem ser enviadas atrav\u00e9s do sistema oficial de rastreamento de erros, e ser\u00e3o tratadas como quaisquer outros erros. As vulnerabilidades n\u00e3o ser\u00e3o mais corrigidas em segredo e todas as informa\u00e7\u00f5es sobre problemas de seguran\u00e7a ser\u00e3o imediatamente publicadas de forma aberta, independentemente dos requisitos de confidencialidade at\u00e9 uma data determinada e sem atrasos na divulga\u00e7\u00e3o at\u00e9 o lan\u00e7amento. <\/p>\n
Esperamos que a mudan\u00e7a para tratar vulnerabilidades como erros comuns permita que Nick se concentre em seu trabalho principal na libxml2, sem se distrair com tarefas n\u00e3o planejadas. Na situa\u00e7\u00e3o atual, Nick precisa gastar v\u00e1rias horas por semana lidando com notifica\u00e7\u00f5es de vulnerabilidades e preparando patches, o que gera uma carga bastante significativa, considerando que a manuten\u00e7\u00e3o \u00e9 realizada com base no puro entusiasmo. <\/p>\n
Observa-se que esconder informa\u00e7\u00f5es sobre vulnerabilidades at\u00e9 a publica\u00e7\u00e3o de atualiza\u00e7\u00f5es e m\u00e9tricas como o OpenSSF Scorecard \u00e9 apenas uma tentativa de grandes empresas de induzir os mantenedores a se sentirem culpados e a trabalhar de gra\u00e7a. A exig\u00eancia de requisitos adicionais para mantenedores volunt\u00e1rios, que trabalham sem compensa\u00e7\u00e3o, \u00e9 chamada de pr\u00e1tica prejudicial. <\/p>\n
Segundo Nick, a biblioteca libxml2 n\u00e3o possui um n\u00edvel de qualidade adequado para uso em navegadores e sistemas operacionais. No entanto, grandes empresas como Apple, Google e Microsoft come\u00e7aram a usar libxml2 em seus sistemas operacionais e produtos. Essas a\u00e7\u00f5es foram consideradas irrespons\u00e1veis, e o trabalho realizado \u00e9 visto como uma tentativa de se livrar dos sintomas, em vez de abordar a causa dos problemas. Na vis\u00e3o de Nick, seria melhor para o projeto se as empresas mencionadas interrompessem o uso do libxml2. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"