Vlákno názorů k článku Oprava chyby Nette: jak jsme si poradili se zranitelností nejvyšší závažnosti od Random Guy - Postavit komercni reseni na frameworku ktery stoji na...

Dnes už Nette není jen na Davidovi. Jinak ale by se možná lidi divili, kolik kritických knihoven a frameworků stojí na jednom člověku - klasickou ukázkou jsou ncurses - drtivá většina terminálových aplikací běží nad touto knihovnou.

Presne tak a pokud jsme u webovych aplikaci a frameworku ... milion ruznych pluginu, ktere resi vetsinou resi jednotlivci. Staci jeden deravej plugin a uz to frci. A jak bylo zmineno, spoustu knihoven a dalsich veci vlastne nakonec vyviji jeden a dva lidi. Dan za to, ze to je zadarmo.

Tak zrovna core knihovny v linuxu sice maji maly upstream vyvoj ale muzu zarucit ze v RH nebo SUSE by se naslo nekolik lidi co by to opravili.
Kdyz upstream nereaguje tak to proste opravime protoze si nemuzeme vetsinou dovolit tam ty security diry zustat.

Samozrejme nikdo nebude nervozni kuli necemu s malym CVSS ale 7+ si rozhodne poresime a dodame upstreamu.

Tak, tak - díky tomu, že to je o.s. tak se to může fixnout poměrně snadno. Security bugfixy v drtivé většině nejsou komplexní - a je to jeden z hlavních cílů GPL, tudíž to sakra někde musí být vidět.

První den práce vývojáře? :-)

https://m.xkcd.com/2347/