Согласно сообщениям модератора списка Маркуса Мейсснера (Marcus Meissner), предположительно 20 января сервер, на котором размещен список рассылки, был взломан, а e-mail-трафик просматривался злоумышленниками. Однако существует вероятность того, что реально злоумышленник получил доступ к системе еще раньше. Заблокировав использованный взломщиками бэкдор, Маркус Мейсснер опубликовал информацию об этом в открытом списке oss-security, порекомендовав вендорам временно воздержаться от публикации критической информации в списке рассылки.
По имеющимся сведениям, сервер lst.de, который использовался для рассылки, плохо обслуживался, а установленное на нем программное обеспечение давно не обновлялось, поскольку у владельцев "не было для этого времени". Сразу после публикации письма Маркуса Мейсснера о взломе в списке рассылки oss-security, скомпрометированный сервер был повторно взломан, а установленное на нем ПО было уничтожено, что позволило злоумышленнику замести следы.
В результате сервер был закрыт, а список рассылки прекратил свое существование. Вопрос о дальнейшей судьбе Vendor-Sec в настоящее время еще не решен.
Список рассылки Vendor-Sec существовал более 10 лет, число его активных подписчиков, среди которых были представители всех ведущих дистрибутивов Linux и BSD, составляло около 100 человек. Но в последние годы его эффективность и сама необходимость его существования многими ставилась под сомнение. В частности, с критикой идеи закрытого обсуждения обнаруженных в системе уязвимостей до их обнародования выступал сам Линус Торвальдс (Linus Torvalds).
По мнению Линуса Торвальдса, полная открытость и прозрачность - это ключевая особенность свободного ПО. Открытость в любом случае более эффективна, чем закрытость, и обеспечение безопасности – не исключение. Согласно статистике уязвимостей, обнаруженных благодаря Vendor-Sec за последние несколько лет, которую опубликовали разработчики Red Hat, прослеживалась явная тенденция к снижению эффективности этого инструмента.
CNews.ru