Der technische Rat der Linux Foundation hat einen zusammenfassenden Bericht über den Vorfall mit Forschern der Universität Minnesota veröffentlicht, der sich mit dem Versuch befasste, Patches in den Kernel einzufügen, die versteckte Fehler enthielten, die zu Sicherheitsanfälligkeiten führen. Die Kernel-Entwickler bestätigten zuvor veröffentlichte Informationen, dass von 5 Patches, die im Rahmen der Studie "Hypocrite Commits" vorbereitet wurden, 4 Patches mit Sicherheitsanfälligkeiten sofort auf Initiative der Maintainer abgelehnt wurden und nicht im Kernel-Repository landeten. Ein Patch wurde akzeptiert, aber dieser behob das Problem korrekt und enthielt keine Fehler.
Es wurden auch 435 Commits analysiert, die Korrekturen enthalten, die von Entwicklern der Universität Minnesota erstellt wurden und nicht mit dem Experiment zur Förderung versteckter Schwachstellen in Verbindung stehen. Seit 2018 hat die Forschergruppe der Universität Minnesota aktiv Fehlerbehebungen vorgenommen. Eine erneute Überprüfung ergab in diesen Commits keine schädliche Aktivität, deckte jedoch einzelne unbeabsichtigte Fehler und Mängel auf.
349 Commits wurden als korrekt anerkannt und unverändert gelassen. In 39 Commits wurden Probleme festgestellt, die behoben werden müssen – diese Commits wurden zurückgezogen und werden vor der Veröffentlichung des Kernels 5.13 durch genauere Korrekturen ersetzt. Die Fehler in 25 Commits wurden in nachfolgenden Änderungen behoben. 12 Commits haben an Relevanz verloren, da sie sich auf veraltete Systeme bezogen, die bereits aus dem Kernel entfernt wurden. Einer der korrekten Commits wurde auf Anfrage des Autors zurückgezogen. 9 korrekte Commits wurden von Adressen @umn.edu versendet, lange bevor die besprochene Forschergruppe gebildet wurde.
Um das Vertrauen in das Team der Universität Minnesota wiederherzustellen und die Möglichkeit zur Mitwirkung an der Kernentwicklung zu ermöglichen, hat die Linux Foundation eine Reihe von Anforderungen aufgestellt, von denen der Großteil bereits erfüllt wurde. Beispielsweise haben die Forscher die Veröffentlichung "Hypocrite Commits" bereits widerrufen und ihren Vortrag auf dem IEEE Symposium abgesagt sowie öffentlich den gesamten Verlauf der Ereignisse offengelegt und detaillierte Informationen über die im Rahmen der Studie eingereichten Änderungen bereitgestellt.
Quelle: opennet.ru
