Only One Person is Tracking GNOME Security Issues... & He Just Quit
Un employé Red Hat, seul responsable du suivi des failles de sécurité de GNOME, a annoncé qu'il cessait cette activité au 1er novembre, laissant l'environnement de bureau Linux le plus utilisé sans aucun suivi humain des vulnérabilités.
SYNTHÈSE STRUCTURÉE
Un unique gardien pour GNOME
Jusqu’à présent, une seule personne — un employé Red Hat — assurait le suivi de 100 % des problèmes de sécurité, bugs et vulnérabilités liés à GNOME et à sa vaste suite logicielle. Comme le souligne l’intervenant : « up until right now there has been only one person tracking 100% of all Gnome related security issues, bugs and vulnerabilities ». Cette situation est d’autant plus critique que toutes les distributions Linux majeures (Red Hat Enterprise Linux, SUSE Linux Enterprise, Ubuntu, Oracle Linux) reposent massivement sur GNOME.
L’arrêt du transfert des signalements vers les projets anti-IA
Dans un premier temps, cet employé a annoncé qu’il ne transmettrait plus aucun signalement de sécurité aux projets et développeurs qui interdisent le contenu généré par IA. La raison invoquée : ne pas vouloir trier ce qui est IA ou non. L’intervenant cite directement : « If a project prohibits issue reports that contain AI generated content, I will no longer forward security issues reported to Gnome security to the project’s issue tracker. Instead I will immediately close the issue report. » Cela signifie que des vulnérabilités réelles pourraient être ignorées uniquement à cause de la position d’un projet sur l’IA.
L’abandon total du suivi au 1er novembre
Le point le plus alarmant est l’annonce que, à compter du 1er novembre, cet employé cessera tout suivi des nouveaux problèmes de sécurité GNOME. L’intervenant insiste : « as of November 1st, there will be no human being on Earth tracking security issues related to the most used desktop environment and software suite in the Linux world ». Aucun remplacement ni volontaire n’a été annoncé par Red Hat.
Une contradiction avec le principe « many eyes »
L’intervenant rappelle l’ironie de la situation : « How many times over the last years and decades have we mocked and ridiculed Microsoft for security issues on Windows and puffed up our chest and boasted about how secure we are in the world of open source because many eyes make all bugs shallow? » Ce principe fondateur de la sécurité open source est directement mis en cause quand le logiciel le plus utilisé sur les postes de travail Linux n’a plus aucun humain dédié à la traque des failles.
Un problème de financement structurel
L’intervenant dénonce le déséquilibre entre les profits des entreprises et leur investissement dans la sécurité : « It is amazing how much in the open-source and Linux world, even with enterprise computing, is just not being funded by the companies that are making billions of dollars selling it. It’s a House of Cards, man. » Red Hat, Canonical, SUSE et Oracle génèrent des milliards avec GNOME, mais aucun ne finance un poste dédié à sa sécurité.
Des priorités mal orientées
L’intervenant critique la réallocation des ressources vers des sujets non techniques : « all these major companies, Red Hat included, and all these major projects are putting in so much engineering effort into reinventing the wheel or working on various non-technical projects like HR related things, code of conduct things, code of conduct team things, code of conduct meeting things, code of conduct reporting things ». Pendant ce temps, le suivi des failles de sécurité est abandonné.
CONCEPTS CLÉS
- GNOME : Environnement de bureau libre le plus utilisé sur les distributions Linux grand public et professionnelles (RHEL, Ubuntu, SUSE). Il inclut une suite logicielle complète (gestionnaire de fichiers, terminal, applications bureautiques, etc.).
- Suivi de sécurité (security tracking) : Processus de réception, classification, priorisation et transmission des rapports de vulnérabilité aux mainteneurs concernés. Sans ce travail, les failles peuvent rester non corrigées.
- Many eyes make all bugs shallow : Principe de sécurité open source selon lequel plus il y a de relecteurs, plus les bugs (dont les failles) sont rapidement identifiés et corrigés. L’absence de suivi humain le rend caduc.
CONCLUSION
L’arrêt du suivi des failles GNOME par le seul responsable humain est un signal d’alarme majeur pour l’écosystème Linux. Il révèle une dépendance excessive à un unique contributeur bénévole (même employé par Red Hat) et un sous-investissement chronique des grandes entreprises qui exploitent GNOME commercialement. Sans action rapide, la sécurité de l’environnement de bureau le plus utilisé au monde pourrait se dégrader gravement, sapant la crédibilité du modèle de sécurité open source.