মিনেসোটা বিশ্ববিদ্যালয় সন্দেহজনক প্যাচ জমা দেওয়ার জন্য লিনাক্স কার্নেল ডেভেলপমেন্ট থেকে স্থগিত করা হয়েছে

লিনাক্স কার্নেলের স্থিতিশীল শাখার রক্ষণাবেক্ষণের জন্য দায়ী গ্রেগ ক্রোহ-হার্টম্যান, মিনেসোটা বিশ্ববিদ্যালয় থেকে লিনাক্স কার্নেলে আসা যেকোনো পরিবর্তনের গ্রহণ নিষিদ্ধ করার সিদ্ধান্ত নেন এবং পূর্বে গৃহীত সমস্ত প্যাচগুলিকে ফিরিয়ে আনতে এবং পুনরায় পর্যালোচনা করার সিদ্ধান্ত নেন। ব্লক করার কারণ ছিল ওপেন-সোর্স প্রকল্পের কোডে লুকানো দুর্বলতা প্রচারের সম্ভাবনা অধ্যয়নরত একটি গবেষণা গোষ্ঠীর কার্যক্রম। এই গ্রুপটি বিভিন্ন ধরণের বাগ সমন্বিত প্যাচ জমা দিয়েছে, সম্প্রদায়ের প্রতিক্রিয়া পর্যবেক্ষণ করেছে এবং পরিবর্তনের জন্য পর্যালোচনা প্রক্রিয়াটি প্রতারণা করার উপায়গুলি অধ্যয়ন করেছে৷ গ্রেগের মতে, দূষিত পরিবর্তনগুলি প্রবর্তন করার জন্য এই ধরনের পরীক্ষা পরিচালনা করা অগ্রহণযোগ্য এবং অনৈতিক।

ব্লক করার কারণ ছিল যে এই গ্রুপের সদস্যরা একটি প্যাচ পাঠিয়েছে যা "ফ্রি" ফাংশনের সম্ভাব্য ডাবল কল দূর করতে একটি পয়েন্টার চেক যুক্ত করেছে। পয়েন্টারের ব্যবহারের প্রেক্ষাপটে, চেকটি অর্থহীন ছিল। প্যাচ জমা দেওয়ার উদ্দেশ্য ছিল ভুল পরিবর্তন কার্নেল ডেভেলপারদের দ্বারা পর্যালোচনা পাস করবে কিনা তা দেখা। এই প্যাচটি ছাড়াও, মিনেসোটা বিশ্ববিদ্যালয়ের ডেভেলপারদের অন্যান্য প্রচেষ্টা কার্নেলে সন্দেহজনক পরিবর্তন করার জন্য সামনে এসেছে, যার মধ্যে লুকানো দুর্বলতাগুলি যোগ করার সাথে সম্পর্কিত।

যে অংশগ্রহণকারী প্যাচগুলি পাঠিয়েছিলেন তিনি এই বলে নিজেকে ন্যায্য প্রমাণ করার চেষ্টা করেছিলেন যে তিনি একটি নতুন স্ট্যাটিক বিশ্লেষক পরীক্ষা করছেন এবং এটিতে পরীক্ষার ফলাফলের ভিত্তিতে পরিবর্তনটি প্রস্তুত করা হয়েছিল। কিন্তু গ্রেগ এই বিষয়টির প্রতি দৃষ্টি আকর্ষণ করেছিলেন যে প্রস্তাবিত সংশোধনগুলি স্ট্যাটিক বিশ্লেষকদের দ্বারা সনাক্ত করা ত্রুটিগুলির জন্য সাধারণ নয় এবং সমস্ত প্রেরিত প্যাচগুলি কিছুতেই ঠিক করে না। প্রদত্ত যে গবেষণা দলটি অতীতে লুকানো দুর্বলতার জন্য প্যাচগুলিকে ধাক্কা দেওয়ার চেষ্টা করেছে, এটি স্পষ্ট যে তারা কার্নেল উন্নয়ন সম্প্রদায়ের সাথে তাদের পরীক্ষা চালিয়ে গেছে।

মজার বিষয় হল, অতীতে, পরীক্ষাগুলি পরিচালনাকারী দলের নেতা দুর্বলতাগুলির বৈধ প্যাচিংয়ের সাথে জড়িত ছিলেন, উদাহরণস্বরূপ, USB স্ট্যাক (CVE-2016-4482) এবং নেটওয়ার্ক সাবসিস্টেম (CVE-2016-4485) এ তথ্য ফাঁস সনাক্ত করা। . স্টিলথ দুর্বলতা প্রচারের উপর একটি গবেষণায়, মিনেসোটা বিশ্ববিদ্যালয়ের একটি দল CVE-2019-12819-এর উদাহরণ তুলে ধরেছে, 2014 সালে প্রকাশিত একটি কার্নেল প্যাচের কারণে একটি দুর্বলতা। ফিক্সটি mdio_bus-এ ত্রুটি হ্যান্ডলিং ব্লকে put_device-এ একটি কল যুক্ত করেছে, কিন্তু পাঁচ বছর পরে এটি আবির্ভূত হয়েছে যে এই ধরনের ম্যানিপুলেশন মেমরি ব্লক মুক্ত হওয়ার পরে অ্যাক্সেসের দিকে নিয়ে যায় ("ব্যবহার-পর-মুক্ত")।

একই সময়ে, অধ্যয়নের লেখকরা দাবি করেছেন যে তাদের কাজে তারা 138টি প্যাচের ডেটা সংক্ষিপ্ত করেছে যা ত্রুটিগুলি প্রবর্তন করেছিল এবং অধ্যয়ন অংশগ্রহণকারীদের সাথে সম্পর্কিত ছিল না। ত্রুটি সহ তাদের নিজস্ব প্যাচ পাঠানোর প্রচেষ্টা ইমেল চিঠিপত্রের মধ্যে সীমাবদ্ধ ছিল, এবং এই ধরনের পরিবর্তনগুলি গিট-এ আসেনি (যদি, ইমেলের মাধ্যমে প্যাচটি পাঠানোর পরে, রক্ষণাবেক্ষণকারী প্যাচটিকে স্বাভাবিক বলে মনে করেন, তাহলে তাকে সেখানে পরিবর্তনটি অন্তর্ভুক্ত না করতে বলা হয়েছিল। একটি ত্রুটি ছিল, যার পরে তারা সঠিক প্যাচ পাঠিয়েছে)।

সংযোজন 1: সমালোচিত প্যাচের লেখকের কার্যকলাপ দ্বারা বিচার করে, তিনি দীর্ঘকাল ধরে বিভিন্ন কার্নেল সাবসিস্টেমে প্যাচ পাঠাচ্ছেন। উদাহরণস্বরূপ, radeon এবং nouveau ড্রাইভাররা সম্প্রতি একটি ত্রুটি ব্লকে pm_runtime_put_autosuspend(dev->dev) এ কল করার মাধ্যমে পরিবর্তনগুলি গ্রহণ করেছে, সম্ভবত এটির সাথে যুক্ত মেমরি মুক্ত করার পরে বাফারটি ব্যবহার করা হতে পারে।

সংযোজন 2: গ্রেগ "@umn.edu" এর সাথে যুক্ত 190টি প্রতিশ্রুতি ফিরিয়ে দিয়েছে এবং সেগুলির পুনরায় পর্যালোচনা শুরু করেছে। সমস্যা হল যে "@umn.edu" ঠিকানার সদস্যরা শুধুমাত্র সন্দেহজনক প্যাচগুলি পুশ করার সাথে পরীক্ষাই করেনি, তবে প্রকৃত দুর্বলতাগুলিও প্যাচ করেছে, এবং পরিবর্তনগুলি ফিরিয়ে আনার ফলে পূর্বে প্যাচ করা নিরাপত্তা সমস্যাগুলি ফিরে আসতে পারে৷ কিছু রক্ষণাবেক্ষণকারী ইতিমধ্যেই প্রত্যাবর্তিত পরিবর্তনগুলি পুনরায় পরীক্ষা করেছেন এবং কোনও সমস্যা খুঁজে পাননি, তবে একজন রক্ষণাবেক্ষণকারী ইঙ্গিত করেছেন যে তাকে পাঠানো প্যাচগুলির মধ্যে একটিতে ত্রুটি রয়েছে৷

উত্স: opennet.ru