tg-me.com/linux_gram/8996
Last Update:
Сопровождающий libxml2 отказался от приоритетного исправления уязвимостей
Ник Велнхофер (Nick Wellnhofer), единственный мейнтейнер библиотек libxml2 и libxslt, объявил радикальные изменения:
— Уязвимости теперь — обычные баги. Информация о них публикуется сразу в публичном трекере без эмбарго или спецпатчей.
— Приоритет исправлений отменён — Ник будет заниматься проблемами по мере сил и времени.
— Отказ от поддержки libxslt — проект ищет нового сопровождающего.
Причины решения:
— Выгорание.
— Жёсткая критика корпораций: Apple, Google и Microsoft используют libxml2 в ОС и браузерах, хотя в документации чётко указано:
"Библиотека плохо протестирована, содержит уязвимости и не должна использоваться для обработки ненадёжных данных".
— Протест против лицемерия: "Требования в духе OpenSSF Scorecard — попытка вызвать чувство вины у бесплатных разработчиков".
Последствия для экосистемы:
— Патчи для критических дыр могут задерживаться на месяцы;
— Злоумышленники получат данные об уязвимостях раньше исправлений;
— Под угрозой macOS, Android, Chrome, Safari и тысячи приложений, зависящих от libxml2.
Linux / Линукс
