Pour Debian Stable, j'ai eu un mail annonçant la faille avec le paquet fixé le 7 avril à 21H36, ce qui me semble très honnête niveau timing.
L’annonce de la faille a été faite semble-t-il à 17h27 le 7 avril. Si c’est à ce moment-là que le mainteneur de OpenSSL pour Debian en a pris connaissance, je suis d’accord pour dire que publier le paquet corrigé à peine quelques heures plus tard est effectivement « très honnête », voire remarquable.
Mais la question est : est-ce que les développeurs Debian ont été prévenus avant la publication de la faille, ou bien l’ont-ils appris en même temps que le reste du monde ?
À voir le bugtracker de Debian, j’ai bien l’impression qu’ils ont découvert le problème le 7 avril au soir, après l’annonce par openssl.org... donc ils ne sont pas dans le cercle de ceux prévenus à l’avance dans le cadre du « responsible disclosure ».
[^] # Re: FreeBSD
Posté par gouttegd . En réponse à la dépêche Nouvelle vulnérabilité dans l’implémentation OpenSSL. Évalué à 10.
L’annonce de la faille a été faite semble-t-il à 17h27 le 7 avril. Si c’est à ce moment-là que le mainteneur de OpenSSL pour Debian en a pris connaissance, je suis d’accord pour dire que publier le paquet corrigé à peine quelques heures plus tard est effectivement « très honnête », voire remarquable.
Mais la question est : est-ce que les développeurs Debian ont été prévenus avant la publication de la faille, ou bien l’ont-ils appris en même temps que le reste du monde ?
À voir le bugtracker de Debian, j’ai bien l’impression qu’ils ont découvert le problème le 7 avril au soir, après l’annonce par openssl.org... donc ils ne sont pas dans le cercle de ceux prévenus à l’avance dans le cadre du « responsible disclosure ».