Fakt by mě zajímalo, za co jsou ty minusy. Kdo neví, jak použít strcpy bezpečným způsobem, ten podle mě není v programování v C ani na úrovni juniora a neměl by vůbec psát produkční kód. Navíc takový člověk nejspíš netuší ani to, jak použít bezpečně strncpy/strlcpy, se kterými spáchám buffer overflow stejně snadno jako se strcpy. Ad absurdum můžou v Samsungu během pár minut přepsat všechna volání strcpy(dst, src)
na strncpy(dst, src, strlen(src) + 1)
a auditor si spokojeně odškrtne ten bod jako vyřešený, protože se mu ze statistiky vytratí všechna ta "zlá" volání.