Vulnerabilidades públicas sem correção no Cyrus SASL

Publicação de Alan Coopersmith na lista oss-sec, de 9 de outubro, relata que há vários problemas de segurança divulgados publicamente no projeto Cyrus SASL sem resposta dos mantenedores. Segundo o texto, ex-mantenedores afirmam que já não participam do projeto. O último lançamento é de 2022, e os únicos commits do último ano foram atualizações de documentação para registrar releases do cyrus-imapd. O aviso lista problemas em aberto, entre eles vazamentos de memória em funções relacionadas a segredos de autenticação. A lista completa não consta do trecho recebido, que é uma tradução automática e pode conter imprecisões. Relevância: organizações que usam o Cyrus SASL como componente de autenticação devem tratar a situação também como risco de manutenção, não apenas como falha pontual. Vale inventariar onde a biblioteca aparece, acompanhar avisos dos fornecedores do sistema operacional e avaliar isolamento ou substituição. A Rota Nacional não corrige essa biblioteca nem resolve o problema de engenharia descrito.