Greg Kroah-Hartman, som er ansvarlig for å opprettholde den stabile grenen av Linux-kjernen gjort det kjent Jeg har drukket i flere dager beslutningen om å nekte endringer fra University of Minnesota til Linux-kjernen, og tilbakestill alle tidligere aksepterte oppdateringer og kontroller dem på nytt.
Årsaken til blokaden var aktivitetene til en forskningsgruppe som studerer muligheten for å fremme skjulte sårbarheter i koden til åpen kildekode-prosjekter, siden denne gruppen har sendt oppdateringer som inkluderer feil av forskjellige typer.
Gitt konteksten med å bruke pekeren, ga det ingen mening, og formålet med oppdateringen av oppdateringen var å undersøke om den feilaktige endringen ville bestå kjernens utvikleres anmeldelse.
I tillegg til denne oppdateringen, Det har vært andre forsøk fra utviklere ved University of Minnesota på å gjøre tvilsomme endringer i kjernen, inkludert de som er relatert til å legge til skjulte sårbarheter.
Bidragsyteren som sendte lappene prøvde å rettferdiggjøre seg selv å teste en ny statisk analysator og endringen ble utarbeidet basert på testresultatene på den.
Pero Greg gjorde oppmerksom på at de foreslåtte rettelsene ikke er typiske av feil oppdaget av statiske analysatorer, og sendte oppdateringer løser ikke noe. Siden den aktuelle forskergruppen allerede har prøvd å introdusere løsninger med skjulte sårbarheter, er det tydelig at de har fortsatt sine eksperimenter i kjerneutviklingssamfunnet.
Interessant, tidligere har lederen for eksperimentgruppen vært involvert i reparasjoner for legitime sårbarheter, for eksempel informasjonslekkasje på USB-stakken (CVE-2016-4482) og nettverk (CVE-2016-4485).
I en studie av skjult forplantning av sårbarheter nevner teamet fra University of Minnesota et eksempel på sårbarheten CVE-2019-12819, forårsaket av en oppdatering som ble akseptert i kjernen i 2014. Løsningen la til et put_device-anrop til feilblokken håndtering i mdio_bus, men fem år senere ble det avslørt at slik manipulering ville resultere i bruk etter fri tilgang til minneblokken.
Samtidig hevder studieforfatterne at de i sitt arbeid oppsummerte data på 138 oppdateringer som introduserte feil, men ikke er relatert til deltakerne i studien.
Forsøk på å sende inn dine egne feilrettinger var begrenset til postkorrespondanse og slike endringer gjorde det ikke til Git-forpliktelsesfasen i noen kjernefilter (hvis vedlikeholderen etter at e-postmeldingen hadde sendt e-posten, lappet var normalt, ble du bedt om å ikke ta med endringen fordi det er en feil, hvoretter den riktige lappen ble sendt).
Også, å dømme ut fra aktiviteten til forfatteren av den kritiserte løsningen, har han presset oppdateringer til forskjellige kjernedelsystemer i lang tid. For eksempel har radeon- og nouveau-drivere nylig vedtatt endringer i pm_runtime_put_autosuspend (dev-> dev) blokkfeil, det kan føre til bruk av en buffer etter frigjøring av tilknyttet minne.
Det nevnes også at Greg kastet tilbake 190 tilknyttede forpliktelser og startet en ny gjennomgang. Problemet er at @ umn.edu-bidragsytere ikke bare eksperimenterte med å markedsføre tvilsomme oppdateringer, de løste også faktiske sårbarheter, og tilbakeføring av endringene kan føre til retur av tidligere faste sikkerhetsproblemer. Noen vedlikeholdspersoner har allerede sjekket de uopprettede endringene på nytt og fant ingen problemer, men det var også feilrettinger.
Institutt for informatikk ved University of Minnesota utstedte en uttalelse kunngjør suspensjon av etterforskningen i dette området, iverksette validering av metodene som ble brukt og gjennomføre en undersøkelse av hvordan denne undersøkelsen ble godkjent. Resultatrapporten vil bli delt med samfunnet.
Til slutt nevner Greg at han har observert responsene fra samfunnet og også tatt hensyn til prosessen med å utforske måter å jukse gjennomgangsprosessen på. Etter Gregs mening er det uakseptabelt og uetisk å gjennomføre slike eksperimenter for å innføre skadelige endringer.
Fuente: https://lkml.org