FreeBSD 13-s viibis halva kvaliteediga WireGuard'i teostus, millel on litsentsirikkumised ja haavatavused.

FreeBSD 13 väljaande koostamiseks kasutatud koodibaasist eemaldati skandaaliliselt Netgate'i tellitud VPN-protokolli WireGuard teostus, mis arendati ilma originaali WireGuard arendajatega konsulteerimata, ja mis oli juba kaasatud pfSense'i stabiilsetesse väljaannetesse. Jason A. Donenfeld, originaalse WireGuard'i autor, kontrollis koodi ning leidis, et FreeBSD jaoks pakutud WireGuard'i teostus oli madala kvaliteediga kood, mis oli täis pufferi ületäitumisi ja rikkus GPL litsentsi.

Teostuses leiti katastroofilisi vigu krüptograafia koodis, WireGuard'i protokolli osa jäi välja, esinesid vead, mis põhjustasid kernel'i kokkujooksmise ja kaitsemeetodite ümbersõidu, sisendandmete jaoks kasutati fikseeritud suurusega puhverdatud atribuute. Koodi kvaliteedi kohta annab palju tunnistust see, et seal olid asenduskoodid, mis alati tagasid väärtuse 'true', samuti unustatud seadistusprint, millel olid väljastatud parameetrid, mida kasutati krüpteerimiseks, ja funktsiooni sleep rakendamine võistluse olukordade vältimiseks.

Mõned koodiosad, nagu funktsioon crypto_xor, viidud GPL litsentsi rikkuvalt Linuxile arendatud WireGuard'i teostusest. Lõpuks asusid Jason Donenfeld koos Kyle Evans'i ja Matt Dunwoodie'ga (WireGuard'i porti autor OpenBSD-le) tegelema probleemse teostuse ümberkirjutamisega ning nädala jooksul asendasid nad täielikult Netgate'i palgatud arendaja kogu koodi. Ümber kirjutatud versioon avaldati eraldi plaastrites, mis on paigutatud WireGuard'i projekti hoidlasse ja ei ole veel FreeBSD-sse kaasatud.

Huvitav on see, et alguses ei viidanud miski probleemidele. Ettevõte Netgate, kes soovis kasutada WireGuardi pfSense'i jaotises, palkas Matthew Mayci, kes tunneb hästi FreeBSD tuuma ja võrgu stack'i, osales vigade parandamises ning omab kogemusi võrgu draivide arendamisel selle opsüsteemi jaoks. Maycile anti vaba ajakava ilma tähtpäevadeta ja vahekontrollideta. FreeBSD's Mayci kaastegevad arendajad iseloomustasid teda talendika ja professionaalse programmeerijana, kes teeb sama palju vigu kui teised ja reageerib kriitikale adekvaatselt. WireGuardi FreeBSD rakenduse halval kvaliteedil oli nende jaoks üllatus.

Pärast 9 kuu tööd, läinud aasta detsembris, lisas Mayci oma rakenduse HEAD haru, mis oli FreeBSD 13 versiooni koostamiseks kasutusel, ilma kolmandate osapoolte ülevaatuse ja testimiseta. Aretus toimus ilma alku WireGuardi ja OpenBSD ning NetBSD portide arendajatega ühenduseta. Veebruaris integreeris Netgate WireGuardi stabiilsesse pfSense 2.5.0 väljalaskesse ja hakkas sellele põhinevates tulekaitsetes tarnima. Probleemide ilmnemisel eemaldati WireGuardi kood pfSense'ist.

Lisatud koodis avastati kriitilised haavatavused, mida kasutati 0-päevastes eksploitides, kuid Netgate ei tunnustanud esialgu haavatavuste olemasolu ja püüdis süüdistada algse WireGuardi arendajat rünnakutes ja eelarvamustes, mis mõjutas negatiivselt nende mainet. Porti arendaja lükkas esialgu tagasi koodikvaliteedi süüdistused, pidades neid liialdatuks, kuid pärast vigade demonstreerimist tõdes ta, et tõeliselt oluline probleem on kvaliteedi ülevaatamise puudumine FreeBSD-s, kuna probleemid jäid märkamatuks mitme kuu jooksul (Netgate'i esindajad märkisid, et avalik ülevaatus algatati juba 2020. aasta augustis, kuid mõned FreeBSD arendajad märkisid, et Phabricatoris lõpetas Mayci ülevaatuse täitmist ja ignoreeris kommentaare). FreeBSD Core Team reageeris intsidendile lubadusega moderniseerida koodikontrolli protsesse.

Matthew Maisey, the developer of the troubled port for FreeBSD, commented on the situation by stating that he made a significant mistake by taking on the job without being ready to implement the project. The outcome, according to Maisey, is explained by emotional burnout and issues arising from post-COVID syndrome. Nevertheless, Maisey did not find the resolve to withdraw from his commitments and attempted to see the project through to completion.

Maisey's condition may have also been influenced by a recent prison sentence he received for illegal actions in an attempt to evict tenants from a house he purchased, who were unwilling to leave voluntarily. Together with his wife, they cut the beams of the ceiling and made holes in the floors to render the house uninhabitable, as well as attempted to intimidate the tenants, broke into occupied apartments, and removed the belongings (the act was classified as burglary). To avoid responsibility for these actions, Maisey and his wife fled to Italy, but he was extradited to the U.S. and served over four years in prison.

Allikas: opennet.ru