Kritik açık kaynak altyapısı çok az kişinin ve çok az paranın üzerinde duruyor

Bir rapor, şirketlerin bağımlı olduğu yazılımların birçoğunun yalnızca bir ya da iki bakımcıyla ayakta kaldığını ve bunun hem arızalar hem güvenlik olayları riskini büyüttüğünü söylüyor.

Bir rapor, yaygın kullanılan açık kaynak altyapısının çoğunlukla çok az insan ve çok az para ile korunduğunu savunuyor. Bu durum, şirketlerin dayandığı yazılım yığını için arıza ve güvenlik olayı riskini artırıyor. Rapora göre incelenen 23 kritik açık kaynak projesinin 11'inde yalnızca bir ya da iki bakımcı bulunuyor.

Rapor, ihmal edilmiş kodun nasıl sistemik bir soruna dönüşebileceğini göstermek için geçmiş olayları örnek veriyor. 2014'te ortaya çıkan Shellshock, Bash'teki bir açığın 1989'da yazılmış koda kadar uzandığını gösterdi. Daha yeni örnekler arasında Log4Shell, libwebp ve xz tehlikesi yer alıyor.

Haberde Bash, ImageMagick, core-js, HarfBuzz, libjpeg-turbo, Libxml2 ve SQLite gibi yetersiz kadroyla yürütülen birkaç proje öne çıkıyor. Bunlardan bazılarını fiilen tek bir bakımcı ya da çok küçük bir ekip taşıyor. core-js'i Denis Pushkarev bakımını yapıyor ve dünyanın en yoğun web sitelerinin yarısında kullanıldığı belirtiliyor. SQLite'in yaklaşık bir trilyon örnekte kullanıldığı ve dört kişi tarafından bakımının yapıldığı aktarılıyor.

Bazı projelerin dış destek aldığı da not ediliyor. curl'ün 11 bakımcısı var ve Open Collective ile Almanya'nın Sovereign Tech Agency kurumundan finansman alıyor. Log4j, OpenSSL, FFmpeg ve OpenSSH da aynı kurumdan destek görüyor.