Linuxi tuuma vigade parandamise analüüs — keskmiselt märgatakse vigu kahe aasta pärast

Avaldatud on uurimistulemused Linuxi südamiku koodi vigade avastamise ja kõrvaldamise ajast. Andmed saadi 125 000 vea analüüsi tulemusena, mis on märgitud Git-repos tag'iga "Fixes:", viidates commit'ile, kus viga tekkis. Keskmine vea avastamise aeg südamikus oli 2,1 aastat. Kui vaadata ainult 2025. aastal parandatud vigu, siis oli see näitaja 2,8 aastat.

30% vigadest parandati samade arendajate poolt, kes need tekitasid. 56,9% vigadest kõrvaldatakse ühe aasta jooksul. 13,5% vigadest jäi märkamatuks rohkem kui 5 aastaks (kui vaadata ainult 2025. aastal parandatud vigu — 19,4%). Ebaühtlase jaotuse tõttu oli keskmine vea olemasolu aeg südamiku koodis 8 kuud valimi jaoks aastast 2005 ja 1 aasta 2025. aastal parandatud vigade puhul. Pikim kestnud viga koodis oli puhverülevus ethtoolis, mis kõrvalditi 20,7 aasta pärast.

Vigade avastamise dünaamika erineb märgatavalt keskmisest väärtusest mõnedes alamsüsteemides, näiteks CAN bussijuhi ja SCTP stack'i puhul võtab probleemide avastamine keskmiselt umbes 4 aastat, IPv4 stack'i puhul — 3,6 aastat, USB ja TTY — 3,5, Netfilter ja võrgu stack — 2,9, VM — 1,8, GPU — 1,4, BPF — 1,1 aastat.

Vea avastamise aeg korreleerub vea tüüpidega: keskmine avastamisaeg, mis on seotud võidusõiduolukordadega, oli 5,1 aastat, täisarvude üleujutuse puhul — 3,9, mälu vabastamise järel juurdepääsu korral — 3,2, puhverülevuse ja mälu lekkimise korral — 3,1, viite loendamise puhul — 2,8, nullviidete dereferentsi ja vastastikuste lukustuste korral — 2,2 aastat.

Saadav statistika näitab ka uute automatiseeritud veaotsimisvahendite, staatilise analüüsi ja koodi testimise tööriistade, nagu Syzkaller, KASAN, KMSAN ja KCSAN, rakendamise mõju. Näiteks 2010. aastal ei registreeritud aasta jooksul ühtegi vea parandust. 2014. aastal tuvastati aastas 31% vigadest, 2018. aastal — 54%, ja 2022. aastal — 69% vigadest.

Saadud statistikat kasutati masinõppemudeli VulnBERT loomisel, mis ennustab haavatavuste olemasolu commit'ides. 2024. aasta commit'ide testimisel oli vea avastamise täpsus 92,2% valehäirete määraga 1,2% (võrdluseks varasem kergesti kätte saadav mudel CodeBERT tuvastas 89,2% probleemidest valehäirete tasemega 48,1%).

Allikas: opennet.ru