Het curl-project accepteert een maand lang geen meldingen van beveiligingslekken in de software, zo heeft maintainer Daniel Stenberg aangekondigd. Volgens Stenberg moet de maatregel ervoor zorgen dat het ontwikkelteam op adem kan komen en verschillende zaken voor de aankomende release al kunnen worden opgepakt. Curl is een zeer veel gebruikte library en command-line tool voor het versturen en ontvangen van data via verschillende netwerkprotocollen.
Stenberg stelt dat curl geïnstalleerd is op meer dan twintig miljard instances wereldwijd. "Het draait op meer dan 110 besturingssystemen en 28 CPU-architecturen. Het draait op elke smartphone, tablet, auto, TV, spelcomputer en server op aarde", aldus de maintainer. Die stelt dat het ontwikkelteam al een aantal weken onder grote druk staat. Curl kent relatief weinig kwetsbaarheden, maar door AI is het aantal gevonden problemen de laatste tijd sterk toegenomen. Beveiligingslekken die het ontwikkelteam weer moet verhelpen.
"Het is nu even tijd voor rust", aldus Stenberg. "We verwachten niet dat deze stortvloed snel voorbij zal zijn." Kwetsbaarheden in curl kunnen worden gemeld via het bugbountyplatform HackerOne. Een maand lang, van 1 juli tot 3 augustus, zullen er geen nieuwe bugmeldingen worden geaccepteerd. Ook het security-e-mailadres van curl is een 'dead end', voegt Stenberg toe. Die merkt op dat aanvallers waarschijnlijk geen vakantie nemen. "Maar wij wel." De issue en pull-request trackers van curl op GitHub blijven wel actief en open. Partijen met een betaald onderhoudscontract zullen tijdens de aankomende periode gewoon op support kunnen blijven rekenen.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
