Greg Kroah Hartman, qui est responsable de la maintenance de la branche stable du noyau Linux dévoilé Je bois depuis plusieurs jours la décision de refuser tout changement de l'Université du Minnesota au noyau Linux, et rétablissez tous les correctifs précédemment acceptés et revérifiez-les.
La raison du blocus était les activités d'un groupe de recherche qui étudie la possibilité de promouvoir des vulnérabilités cachées dans le code des projets open source, puisque ce groupe a envoyé des correctifs qui incluent des erreurs de différents types.
Compte tenu du contexte d'utilisation du pointeur, cela n'avait aucun sens et le but de la soumission du correctif était de déterminer si le changement erroné passerait l'examen des développeurs du noyau.
En plus de ce patch, Il y a eu d'autres tentatives de la part de développeurs de l'Université du Minnesota pour apporter des modifications douteuses au noyau, y compris celles liées à l'ajout de vulnérabilités cachées.
Le contributeur qui a envoyé les patchs a tenté de se justifier tester un nouvel analyseur statique et le changement a été préparé sur la base des résultats des tests sur celui-ci.
Mais Greg a attiré l'attention sur le fait que les corrections proposées ne sont pas typiques d'erreurs détectées par les analyseurs statiques, et les patchs envoyés ne résolvent rien. Le groupe de chercheurs en question ayant déjà tenté par le passé d'introduire des solutions avec des vulnérabilités cachées, il est clair qu'ils ont poursuivi leurs expériences dans la communauté de développement du noyau.
Fait intéressant, dans le passé, le chef du groupe d'expérimentation a été impliqué dans des correctifs pour des vulnérabilités légitimes, telles que la fuite d'informations sur la pile USB (CVE-2016-4482) et les réseaux (CVE-2016-4485).
Dans une étude sur la propagation cachée de vulnérabilités, l'équipe de l'Université du Minnesota cite un exemple de vulnérabilité CVE-2019-12819, causée par un correctif qui a été accepté dans le noyau en 2014. La solution a ajouté un appel put_device au bloc d'erreur manipulation dans mdio_bus, mais cinq ans plus tard, il a été révélé qu'une telle manipulation entraînerait un accès après utilisation libre au bloc de mémoire.
Dans le même temps, les auteurs de l'étude affirment que dans leur travail, ils ont résumé des données sur 138 patchs qui introduisent des erreurs, mais ne sont pas liés aux participants à l'étude.
Les tentatives de soumission de vos propres correctifs de bogues se limitaient à la correspondance par courrier électronique et de telles modifications ne sont pas parvenues à l'étape de validation Git dans aucune branche du noyau (si après avoir envoyé le correctif par courrier électronique, le responsable a trouvé le correctif normal, alors on vous a demandé de ne pas inclure le changement car il y a une erreur, après quoi patch a été expédié).
De plus, à en juger par l'activité de l'auteur du correctif critiqué, il pousse depuis longtemps des correctifs vers divers sous-systèmes du noyau. Par exemple, les pilotes radeon et nouveau ont récemment adopté des modifications des erreurs de bloc pm_runtime_put_autosuspend (dev-> dev), cela peut conduire à l'utilisation d'un tampon après avoir libéré la mémoire associée.
Il est également mentionné que Greg a annulé 190 commits associés et a commencé une nouvelle révision. Le problème est que les contributeurs de @ umn.edu ont non seulement expérimenté la promotion de correctifs douteux, ils ont également corrigé des vulnérabilités réelles, et l'annulation des modifications pourrait conduire au retour de problèmes de sécurité précédemment résolus. Certains responsables ont déjà revérifié les modifications annulées et n'ont trouvé aucun problème, mais il y avait aussi des correctifs de bogues.
Le Département d'informatique de l'Université du Minnesota a publié une déclaration annonçant la suspension de l'enquête dans ce domaine, lancer la validation des méthodes utilisées et mener une enquête sur la manière dont cette enquête a été approuvée. Le rapport de résultats sera partagé avec la communauté.
Enfin, Greg mentionne qu'il a observé les réponses de la communauté et qu'il a également pris en compte le processus d'exploration des moyens de tromper le processus d'examen. De l'avis de Greg, mener de telles expériences pour introduire des changements nuisibles est inacceptable et contraire à l'éthique.
source: https://lkml.org