Underhållaren av libxml2 har avstått från att prioritera åtgärder mot sårbarheter

Nick Wellnhofer, som hanterar libxml2-biblioteket, har meddelat att han nu kommer att betrakta sårbarheter som vanliga fel. Rapportering av sårbarheter kommer inte att prioriteras, utan istället åtgärdas när tid finns. Informationen om sårbarhetens natur kommer att publiceras offentligt omedelbart, utan att vänta på att en patch ska skapas och spridas i distributioner och operativsystem. Nick har också avsagt sig sitt ansvar för libxslt-biblioteket och uttryckt tvivel om att någon kommer att vara beredd att ta över dess stöd.

I beskrivningen av libxml2-projektet har det lagts till en kommentar angående att biblioteket är skrivet av entusiaster, hanteras av en frivillig, är dåligt testat, skrivet i ett språk som inte är säkert för minneshantering, har många sårbarheter och inte rekommenderas för hantering av otillförlitliga data. Rapportering av säkerhetsproblem ska skickas via den vanliga offentliga bug tracking-systemet och de kommer att hanteras som alla andra fel. Sårbarheter kommer inte längre att åtgärdas bakom stängda dörrar och all information om säkerhetsproblem kommer omedelbart att publiceras offentligt, oavsett sekretesskrav till ett visst datum och utan att fördröja informationsupplysning till releasen.

Det förväntas att övergången till att hantera sårbarheter som vanliga fel kommer att ge Nick möjlighet att fokusera på huvudarbetet med libxml2, utan avbrott för oförutsedda uppgifter. I nuläget tvingas Nick spendera flera timmar i veckan på att hantera rapporter om sårbarheter och förbereda patchar, vilket skapar ett ganska stort tryck med tanke på att underhållet sker på ren entusiasm.

Det påpekas att hemlighållande av uppgifter om sårbarheter innan uppdateringar publiceras och metrik som OpenSSF Scorecard bara är ett försök från stora företag att få underhållarna att känna sig skyldiga och tvinga dem att arbeta gratis. Att ställa ytterligare krav på frivilliga underhållare som arbetar utan ersättning har kallats en skadlig praxis.

Enligt Nick har biblioteket libxml2 inte en kvalitetsnivå som är lämplig för användning i webbläsare och operativsystem. Trots detta har stora företag som Apple, Google och Microsoft börjat använda libxml2 i sina operativsystem och produkter. Sådana handlingar har kallats oansvariga, och det arbete som utförs anses vara ett försök att lindra symptomen snarare än att åtgärda problemen. Enligt Nick skulle det vara bättre för projektet om de nämnda företagen slutade använda libxml2.

Källa: opennet.ru