В си уже давно решили эту проблему. Распаковываешь тарбол, пишешь мейкфайл, упаковываешь тарбол. Пока весь код в одном тарболе, никаких проблем нет. Если кто CVE прислал - то алгоритм такой:
(а) если код никем особо не используется, то ничего чинить не нужно - никакой CVE вообще никто скорее не зафайлит.
(б) если код используется - то тот, кому более нужно оторвет жопу и обновит твой мейкфайл.
и так, и так - не твои проблемы. Главное - писать что-то сложное и полезное, чтоб всем было нужно и никто не мог разобраться что там написано.