Исходное сообщение
"Отчёт о развитии системного менеджера systemd" Отправлено develop7, 03-Май-12 19:01
>> то есть заявить на половину вселенной «у нас дырка, налетай, брутфорсь!» > Коммит в CVS - не заявление.  Заявление - это как раз выпуск DSA. Есть люди, которые зарабатывают на хлеб с икрой эксплуатацией дырок. И они просматривают коммиты в популярные сервисы. Для них этот коммит — транспарант 3×4м с надписью «дырка здесь, эксплуатировать вот так». >> и ЧЕРЕЗ НЕДЕЛЮ выпустить обновление > Вообще-то - это только свиду простое изменение.  Вам из детского сада это может быть неочевидным, но для мейнтейнеров пакета - может потребоваться  какое-то время, чтобы выяснить что проблема действительно исправлена. Не могу не согласиться — когда курт комментил эту злосчастную строку, он определённо не понимал, *что* делает. И не уверен, что он понимал, что делает даже когда коммитил фикс. Ну и да, не могут же все maintainerы пакетов быть квалифицированными специалистами. >> это нормально и правильно? > В принципе, вы всегда можете потребовать назад свои деньги, которые вложили в развитие Debian... …или выкинуть openssl во всех доступных инсталляциях debian, а если придётся — то и сменить debian на что-нибудь повменяемее. > PS: В общем, не удалось из носу выковырять "замалчивание" уязвимости мейнтейнером (ага, слабо "втихую" пропихнуть обновление в стабильный дистрибутив) - теперь жалуемся на медленность выхода обновлений? У белых людей принято не выкладывать full disclosure в интернеты до выхода фикса.