Libxml2: Важлива бібліотека без підтримки

Середина вересня принесла тривожні новини: Нік Веллнхофер, давній розробник широко використовуваної бібліотеки для парсингу XML libxml2, планував залишити проект. Нещодавно це стало офіційним фактом.

Статус проекту в GitLab

У одному з останніх комітів в репозиторії GitLab проекту ви можете побачити таке повідомлення:

“Цей проект не підтримується і має відомі проблеми безпеки. Використання цього програмного забезпечення для обробки ненадійних даних — це безглуздо.”

Чому це важливо

Це надзвичайно тривожна новина. Не варто думати, “А що тут такого? Це всього лише бібліотека.” Пам’ятайте, що йдеться про основний компонент екосистеми Linux, який широко використовується в різних інфраструктурах, настільних середовищах, мовах програмування та чутливих до безпеки навантаженнях.

По-перше, libxml2 є стандартною бібліотекою для парсингу XML і HTML у світі open-source. Її використовують тисячі пакетів, від нижньорівневих системних компонентів до високорівневих додатків. Практично всі настільні середовища залежні від неї також, як і основні інструменти, системи конфігурації та конвеєри обробки документів.

По-друге, парсинг XML є історично однією з найбільш чутливих до безпеки областей в системному програмуванні. Уразливості в XML-бібліотеках часто призводять до виконання віддаленого коду, атак на розширення сутностей, витоку інформації або проблем з відмовою в обслуговуванні.

Ризики та наслідки відсутності підтримки

І, нарешті, практично всі дистрибутиви Linux постачають libxml2 як основну бібліотеку. Варто лише поглянути на пакети у вашій системі, які залежать від libxml2 — список може виявитися дуже довгим.

Таким чином, навіть одна незакрита проблема безпеки може змусити дистрибутиви використовувати кастомні патчі, підтримувати власні форки або повністю замінити парсер. Однак через глибоке вбудування libxml2 в системні бібліотеки та додатки, заміна його є практично неможливою.

Тому, що libxml2 перестала підтримуватися, це не просто незначна зміна. Насправді, це створює вразливість у серці інфраструктури Linux та open-source. Якщо новий розробник не візьме на себе відповідальність або спільнота не організує координований форк, ризики лише зростатимуть.

Ми можемо лише сподіватися, що до того, як нові проблеми в бібліотеці почнуть використовуватися, знайдеться новий розробник, який продовжить чудову роботу Веллнхофера, яку він виконував протягом багатьох років, за що ми йому глибоко вдячні.