> Не общая, а часто встречающаяся.  Есть ведь и внимательные апстримы.

Не встречал таких. Особенно когда исправляется ошибка без специального анализа и поиска.
Проходя мимо переписали код и получилось что бага ушла.

> В зависимости от его фактического отношения к конкретно этой баге это может только наложить на него ту самую обязанность -- говоришь, значит, так и делай.

Зная поведение товарища Столмана - это все будет зависить от фазы луны и текущего настроения RMS.
Судя по новостям из соседнего треда - вместо ответа на конструктивную критику RMS предпочел сказать "Вали, еще вернешься". разве не так? я пропустил где-то конструктивный ответ RMS?

> Мил человек, да мне как внедренцу в общем-то всё равно в первом приближении -- через что незваные гости придут.  Это если информация о дырке уже публична, PoC или рабочий эксплойт есть, а вендор имеет обычай по кварталу в ухе ковыряться для выпуска затычки -- тогда вспоминаем про исходники и лезем сами или припахиваем кого более грамотного и достаточно доверенного.  Когда они есть.

Вы помните что произошло когда один такой опытный поправил код OpenSSL? Из опыта работы могу сказать очень мало патчей со стороны могут быть включены без проблем и делают то что заявлено без backside эфектов. Даже ваши патчи по поддержке нового ядра в люстре - как бы так сказать.. хороши были только в роли чернового варианта.

А к слову о RedHat - при их выпендреже с скоростью поддержки - они не всегда выпускали исправления безопастности в первых рядах. Часто через 2-3 дня после того как патч с решением проблемы был известен публике.