Open Source: "Antworten Sie innerhalb von 24 Stunden"

Der Entwickler der Download-Bibliothek Curl, Daniel Stenberg, hat eine Mail eines großen Unternehmens zur Log4j-Sicherheitslücke erhalten. Darin wird er aufgefordert, zahlreiche Fragen zur Betroffenheit und zum Umgang mit der Lücke zu beantworten.

Der Absender ist laut Stenberg eine Fortune-500-Firma, gehört also zu den besonders umsatzstarken Firmen in den USA. Die Absender waren sich dabei offenbar nicht im Klaren, dass sie es mit einem Entwickler von Open-Source-Software zu tun haben - die außerdem relativ offensichtlich nichts mit Log4j zu tun hat.

In der Mail wird Stenberg gefragt, ob seine Applikation Java-Logging verwendet und welche Version von Log4j darin verwendet wird. Weiterhin wird er gefragt, ob es Sicherheitsvorfälle in seinem Unternehmen gab und welche Produkte und Software davon betroffen waren.

Open-Source-Entwickler soll innerhalb von 24 Stunden antworten

Eilig sei es zudem: "Wir erwarten, dass Sie diese E-Mail innerhalb von 24 Stunden bearbeiten und beantworten."

Die Curl-Bibliothek wird in einer Vielzahl von Produkten eingesetzt und ist vermutlich eines der am häufigsten verwendeten Open-Source-Projekte. Allerdings ist sie in C geschrieben und hat daher mit der Java-Bibliothek Log4j nichts zu tun. Stenberg schreibt auch, dass keine Software, an der er mitentwickelt, Log4j verwendet und dass man das auch schnell hätte selbst herausfinden können.

So kurios die E-Mail ist, sie zeigt offenbar eines: Der Absender verstand offenbar nicht, dass er hier mit dem Entwickler eines Open-Source-Projekts kommuniziert. Nachdem Stenberg ihm antwortete, dass er die Fragen gerne beantwortet, sobald die Firma mit ihm einen Supportvertrag abschließt, erhielt er die überraschte Frage zurück: "Wollen Sie damit sagen, dass wir kein Kunde Ihrer Organisation sind?"

Es handelte sich vermutlich um eine Massenmail, die hier ein Großkonzern an die Entwickler sämtlicher Software geschickt hat, die dort zum Einsatz kommt. Auf kuriose Weise zeigt sie aber, wie problematisch das Verhältnis vieler Firmen zu Open-Source-Software ist.