Document ID: /fineweb-2-swissfilter-quality_10-filterrobots/filtered/03302.jsonl.gz/2445

Oracles Java-Chefentwickler Mark Reinhold hat dem Steuerungsgremium von OpenJDK eine Idee unterbreitet
, wie man die Suche nach Sicherheitslücken in OpenJDK und deren Schliessung effizienter gestalten könnte.
OpenJDK ist eine auch von Oracle unterstütze Open-Source-Implementierung der Java Platform, Standard Edition. Bisher, so Reinhold, hätten Unternehmen wie Red Hat, IBM, SAP oder Canonical, die OpenJDK-basierte Produkte anbieten, weitgehend auf eigene Faust versucht, Schwachstellen zu finden und zu schliessen. Eine Kommunikation untereinander oder mit Oracle habe nur gelegentlich stattgefunden. Wenn dann habe man lediglich Fixes ausgetauscht, nicht aber gefundene Schwachstellen.
Reinhold schlägt nun die Schaffung einer neuen, geschlossenen Gruppe innerhalb der OpenJDK-Community vor, die "Vulnerability Group". Die Mitglieder dieser geschlossenen Gruppe müssten diverse Zulassungskriterien erfüllen und sich dazu verpflichten, strenge Kommunikationsregeln
einzuhalten. Jedermann könnte der Gruppe neue Schwachstellen melden, diese diskutiert und analysiert die Lücken dann aber im Geheimen. Erst wenn Fixes vorhanden sind, darf öffentlich kommuniziert werden.
Diese Regeln scheinen für eine Gruppe, die sich mit der Öffentlichkeit noch nicht bekannten Schwachstellen auseinandersetzen soll, ziemlich vernünftig. Allerdings verstossen sie, wie Reinhold erklärt "technisch gesehen" gegen die gegenwärtigen Bestimmungen der OpenJDK-Community. Deshalb muss der Steuerungsausschuss zuerst seine offizielle Zustimmung geben, bevor die Gruppe geschaffen werden kann. (hjm)