El consejo técnico de la organización Linux Foundation ha publicado un informe resumido sobre el incidente con los investigadores de la Universidad de Minnesota, relacionado con un intento de promover parches en el núcleo que contenían errores ocultos, lo que lleva a vulnerabilidades. Los desarrolladores del núcleo han confirmado la información previamente publicada de que de los 5 parches preparados durante la investigación 'Hypocrite Commits', 4 parches con vulnerabilidades fueron rechazados de inmediato por iniciativa de los mantenedores y no llegaron al repositorio del núcleo. Un parche fue aceptado, pero corregía correctamente el problema y no contenía errores.
También se analizaron 435 commits, que incluyen correcciones enviadas por los desarrolladores de la Universidad de Minnesota y que no están relacionadas con la realización del experimento para promover vulnerabilidades ocultas. Desde 2018, el grupo de investigadores de la Universidad de Minnesota ha participado activamente en la corrección de errores. La revisión nuevamente no detectó actividad maliciosa en estos commits, pero reveló algunos errores no intencionados y omisiones.
Se consideraron correctos 349 commits y se dejaron sin cambios. En 39 commits se encontraron problemas que requieren corrección: estos commits fueron cancelados y antes del lanzamiento del núcleo 5.13 serán reemplazados por correcciones más precisas. Los errores en 25 commits se corrigieron en cambios posteriores. 12 commits quedaron obsoletos, ya que afectaban a sistemas desactualizados que ya habían sido eliminados del núcleo. Uno de los commits correctos fue cancelado a petición del autor. 9 commits correctos se enviaron desde direcciones @umn.edu mucho antes de la formación del grupo de investigadores en cuestión.
Para restaurar la confianza en el equipo de la Universidad de Minnesota y devolver la posibilidad de participar en el desarrollo del núcleo, la organización Linux Foundation ha presentado una serie de requisitos, la mayor parte de los cuales ya se ha cumplido. Por ejemplo, los investigadores ya han retirado la publicación 'Hypocrite Commits' y cancelado su presentación en la conferencia IEEE Symposium, así como revelado públicamente toda la cronología de los eventos y proporcionado información detallada sobre los cambios enviados durante la investigación.
Fuente: opennet.ru
