L'entreprise dit justement qu'ils ont publiés en décembre avant noël parce que sinon, c'était rendu publique pendant les vacances, ce qui est pire. Le 18 décembre, ça laisse une semaine, c'est pas non plus le jour de noël. Si on regarde la timeline de postfix, le correctif est dispo le lendemain, et sans doute validé assez vite.
Ce n'est peut-être pas intentionnel, mais c'est une chose à laquelle ils auraient pu penser (du même niveau que "on ne met pas en prod un vendredi")
Moi je mets en prod le vendredi, donc bon, je suis pas convaincu.
On arrête pas de dire qu'il y a pas de garantie avec le logiciel libre (j'invite pas, c'est dans la GPL), donc je trouve contre productif et mal placé de prétendre le contraire. Une bonne part de la communauté râle quand quelqu'un envoie un mail pour demander "c'est quoi le delai pour log4j" à un projet libre, etc, mais en même temps, c'est aussi parce qu'on (la communauté) a tendance à agir comme si on était responsable. Il faut pas s'étonner ensuite qu'on oublie la différence.
Comme l'a dit mon ancien chef, si tout marche sans souci, on oublie que tu existes et pourquoi tu es la. Exemple: openssl et heartbleed, exemple 2: log4j, etc.
[^] # Re: En gros
Posté par Misc (site web personnel) . En réponse au lien Sympa de garder ça pour soi (Faille Postfix : smuggling) Heureusement Postfix assure.. Évalué à 5. Dernière modification le 28 décembre 2023 à 11:27.
L'entreprise dit justement qu'ils ont publiés en décembre avant noël parce que sinon, c'était rendu publique pendant les vacances, ce qui est pire. Le 18 décembre, ça laisse une semaine, c'est pas non plus le jour de noël. Si on regarde la timeline de postfix, le correctif est dispo le lendemain, et sans doute validé assez vite.
Moi je mets en prod le vendredi, donc bon, je suis pas convaincu.
On arrête pas de dire qu'il y a pas de garantie avec le logiciel libre (j'invite pas, c'est dans la GPL), donc je trouve contre productif et mal placé de prétendre le contraire. Une bonne part de la communauté râle quand quelqu'un envoie un mail pour demander "c'est quoi le delai pour log4j" à un projet libre, etc, mais en même temps, c'est aussi parce qu'on (la communauté) a tendance à agir comme si on était responsable. Il faut pas s'étonner ensuite qu'on oublie la différence.
Comme l'a dit mon ancien chef, si tout marche sans souci, on oublie que tu existes et pourquoi tu es la. Exemple: openssl et heartbleed, exemple 2: log4j, etc.