GNOME en riesgo: el único tracker de seguridad se va en diciembre

La noticia cayó como un balde de agua fría en la comunidad: Michael Catanzaro, quien desde 2020 se encarga solo de rastrear y coordinar las actualizaciones de seguridad del proyecto GNOME, anunció que dejará el rol en diciembre de este año.

Catanzaro ha sido, literalmente, la única persona dedicada a tiempo completo a esta tarea crítica. Su trabajo consistía en monitorear reportes de vulnerabilidades, coordinar con los mantenedores de los distintos módulos, asegurarse de que los parches lleguen a las distribuciones y mantener actualizado el tracker de seguridad de GNOME.

¿Por qué es grave que se vaya?

En el mundo del software libre es común que tareas esenciales queden en manos de voluntarios o de una sola persona. GNOME no es la excepción. Durante estos años, Michael no solo gestionaba el seguimiento de CVEs, sino que también impulsaba mejoras de hardening, revisaba código sensible y era el punto de contacto para distribuciones como Fedora, Ubuntu o Debian cuando aparecían problemas de seguridad.

Su partida deja un vacío que, según él mismo reconoció en su anuncio, nadie está listo para cubrir de inmediato. No hay un sucesor designado ni un equipo de respaldo entrenado. Esto expone un problema estructural que afecta a muchos proyectos: la dependencia de “héroes solitarios”.

El rol del security tracker en GNOME

El tracker no es solo una lista de bugs. Es el mecanismo que garantiza que cuando se descubre una vulnerabilidad en GTK, en Mutter, en Evolution o en cualquiera de los más de 200 módulos que componen el escritorio, alguien se encargue de:

• Evaluar la severidad
• Coordinar el parche con los desarrolladores upstream
• Asegurarse de que las distribuciones lancen actualizaciones a tiempo
• Comunicar responsablemente a los usuarios y a otros proyectos

Sin alguien dedicado, este proceso puede ralentizarse drásticamente o, peor aún, pasar desapercibido.

¿Qué puede pasar ahora?

La Fundación GNOME ya está buscando formas de distribuir la responsabilidad. Algunas ideas que se barajan son:

• Crear un equipo rotativo de mantenedores de seguridad
• Contratar a alguien a tiempo parcial con fondos de donaciones o sponsors
• Mejorar la automatización de alertas y triage
• Pedir mayor colaboración de las empresas que basan sus productos en GNOME (Red Hat, SUSE, Canonical)

Sin embargo, conseguir que varias organizaciones se comprometan de verdad con el mantenimiento de algo tan poco “visible” como la seguridad upstream no es sencillo. La mayoría prefiere invertir en features o en su propio branding.

Lecciones para el ecosistema

Este caso no es aislado. Proyectos como OpenSSL, SQLite o incluso partes críticas de Linux han dependido durante años de muy pocas personas. La salida de Catanzaro debería servir como recordatorio de que la sostenibilidad de los proyectos libres no se resuelve solo con código abierto, sino con personas sostenidas.

Desde MamaLibre siempre insistimos en que usar software libre no es gratis: alguien paga el precio, sea con su tiempo, con donaciones o con su salario. Si valoramos GNOME como escritorio diario, es momento de que la comunidad y las empresas que se benefician contribuyan de forma concreta.

¿Qué podés hacer vos?

• Si sos desarrollador, considerá dedicar tiempo a revisar issues de seguridad.
• Si usás GNOME en tu distro, doná a la GNOME Foundation o exigí a tu distribución que destine recursos.
• Difundí el problema: cuanto más se hable, más presión habrá para encontrar una solución estructural y no solo un “nuevo héroe”.

La salida de Michael Catanzaro no es el fin de GNOME, pero sí una alerta roja. La seguridad no puede seguir dependiendo de una sola persona. Es hora de que el proyecto crezca también en madurez organizativa.