University of Minnesota dilarang daripada pengembangan kernel Linux 

Greg Kroah-Hartman, yang bertanggungjawab untuk mengekalkan cawangan kernel Linux yang stabil menjadikannya diketahui Sudah beberapa hari saya minum keputusan untuk menolak sebarang perubahan dari University of Minnesota ke kernel Linux, dan kembalikan semua tambalan yang diterima sebelumnya dan periksa semula.

Sebab penyekat itu adalah aktiviti kumpulan penyelidik yang mengkaji kemungkinan mempromosikan kerentanan tersembunyi dalam kod projek sumber terbuka, kerana kumpulan ini telah menghantar tambalan yang merangkumi kesalahan dari pelbagai jenis.

Mengingat konteks penggunaan penunjuk, tidak masuk akal dan tujuan penyampaian tambalan adalah untuk menyiasat apakah perubahan yang salah akan melewati tinjauan pemaju kernel.

Sebagai tambahan kepada patch ini, Terdapat percubaan lain oleh pemaju di University of Minnesota untuk membuat perubahan yang dipersoalkan pada kernel, termasuk yang berkaitan dengan menambahkan kerentanan tersembunyi.

Penyumbang yang menghantar tampalan itu cuba membenarkan dirinya menguji penganalisis statik baru dan perubahan itu dibuat berdasarkan hasil ujian di atasnya.

Tetapi Greg menarik perhatian kepada kenyataan bahawa pembetulan yang dicadangkan itu tidak biasa kesalahan yang dikesan oleh penganalisis statik, dan patch yang dihantar tidak memperbaiki apa-apa. Oleh kerana sekumpulan penyelidik yang bersangkutan telah mencuba pada masa lalu untuk memperkenalkan penyelesaian dengan kerentanan tersembunyi, jelas bahawa mereka telah meneruskan eksperimen mereka dalam komuniti pengembangan kernel.

Menariknya, pada masa lalu, pemimpin kumpulan eksperimen telah terlibat dalam perbaikan untuk kelemahan yang sah, seperti kebocoran maklumat pada timbunan USB (CVE-2016-4482) dan rangkaian (CVE-2016-4485).

Dalam kajian penyebaran kerentanan tersembunyi, pasukan University of Minnesota memetik contoh kerentanan CVE-2019-12819, yang disebabkan oleh tambalan yang diterima ke dalam kernel pada tahun 2014. Penyelesaiannya menambahkan panggilan put_device ke blok pengendalian ralat di mdio_bus, tetapi lima tahun kemudian terungkap bahawa manipulasi tersebut akan menghasilkan akses selepas penggunaan ke blok memori.

Pada masa yang sama, penulis kajian mendakwa bahawa dalam karya mereka meringkaskan data mengenai 138 patch yang memperkenalkan kesalahan, tetapi tidak berkaitan dengan peserta kajian.

Percubaan untuk menghantar patch bug anda sendiri terhad kepada surat-menyurat surat dan perubahan tersebut tidak sampai ke tahap komitmen Git di cawangan kernel mana pun (jika setelah mengirim e-mel pada patch, penyelenggara mendapati patch itu normal, maka anda diminta untuk tidak memasukkan perubahan tersebut kerana ada kesalahan, setelah itu patch yang betul dihantar).

Selain itu, jika dilihat dari aktivitas penulis perbaikan yang dikritik, dia telah lama menambal patch ke berbagai subsistem kernel. Contohnya pemacu radeon dan nouveau baru-baru ini mengadopsi perubahan pada ralat blok pm_runtime_put_autosuspend (dev-> dev), ia mungkin menyebabkan penggunaan penyangga setelah melepaskan memori yang berkaitan.

Juga disebutkan bahawa Greg mengembalikan 190 komitmen yang berkaitan dan memulakan kajian baru. Masalahnya ialah penyumbang @ umn.edu tidak hanya bereksperimen dengan mempromosikan patch yang dipersoalkan, mereka juga memperbaiki kerentanan yang sebenarnya, dan memutar balik perubahan dapat menyebabkan pengembalian masalah keselamatan yang sebelumnya diperbaiki. Sebilangan penyelenggara telah memeriksa kembali perubahan yang tidak dibuat dan tidak menemui masalah, tetapi ada juga perbaikan pepijat.

Jabatan Sains Komputer di University of Minnesota mengeluarkan kenyataan mengumumkan penangguhan siasatan di kawasan ini, memulakan pengesahan kaedah yang digunakan dan menjalankan penyelidikan mengenai bagaimana penyelidikan ini disetujui. Laporan hasilnya akan dikongsi dengan masyarakat.

Akhirnya Greg menyebutkan bahawa dia telah memerhatikan tindak balas dari masyarakat dan juga mengambil kira proses meneroka cara untuk menipu proses tinjauan. Pada pendapat Greg, melakukan eksperimen sedemikian untuk memperkenalkan perubahan berbahaya tidak dapat diterima dan tidak beretika.

Fuente: https://lkml.org


Kandungan artikel mematuhi prinsip kami etika editorial. Untuk melaporkan ralat, klik di sini.

Menjadi yang pertama untuk komen

Tinggalkan komen anda

Alamat email anda tidak akan disiarkan.

*

*

  1. Bertanggungjawab atas data: Miguel Ángel Gatón
  2. Tujuan data: Mengendalikan SPAM, pengurusan komen.
  3. Perundangan: Persetujuan anda
  4. Komunikasi data: Data tidak akan disampaikan kepada pihak ketiga kecuali dengan kewajiban hukum.
  5. Penyimpanan data: Pangkalan data yang dihoskan oleh Occentus Networks (EU)
  6. Hak: Pada bila-bila masa anda boleh menghadkan, memulihkan dan menghapus maklumat anda.

bool(benar)