Le conseil technique de l'organisation Linux Foundation a publié un rapport récapitulatif concernant l'incident avec des chercheurs de l'Université du Minnesota, lié à une tentative de promotion dans le noyau de patches contenant des erreurs cachées, entraînant des vulnérabilités. Les développeurs du noyau ont confirmé les informations précédemment publiées selon lesquelles, sur 5 patches préparés dans le cadre de l'étude « Hypocrite Commits », 4 patches vulnérables ont été immédiatement rejetés par l'initiative des mainteneurs et n'ont pas intégré le dépôt du noyau. Un patch a été accepté, mais il corrigeait correctement le problème et ne contenait pas d'erreurs.
435 commits ont également été analysés, incluant des corrections envoyées par des développeurs de l'Université du Minnesota et non liées à la conduite de l'expérience sur la promotion de vulnérabilités cachées. Depuis 2018, le groupe de chercheurs de l'Université du Minnesota a activement participé à la correction des erreurs. Une nouvelle révision n'a révélé aucune activité malveillante dans ces commits, mais a mis en lumière quelques erreurs et omissions non intentionnelles.
349 commits ont été jugés corrects et laissés sans modifications. Des problèmes ont été identifiés dans 39 commits, nécessitant des corrections — ces commits ont été annulés et seront remplacés par des corrections plus appropriées avant la sortie du noyau 5.13. Les erreurs dans 25 commits ont été corrigées dans des modifications ultérieures. 12 commits ont perdu leur pertinence car ils concernaient des systèmes obsolètes, déjà supprimés du noyau. Un des commits corrects a été annulé à la demande de l'auteur. 9 commits corrects ont été envoyés depuis des adresses @umn.edu bien avant la formation du groupe de chercheurs en question.
Pour rétablir la confiance envers l'équipe de l'Université du Minnesota et lui redonner la possibilité de participer au développement du noyau, l'organisation Linux Foundation a émis une série d'exigences, dont la majorité a déjà été satisfaite. Par exemple, les chercheurs ont déjà retiré leur publication « Hypocrite Commits » et annulé leur présentation à la conférence IEEE Symposium, ainsi que divulgué publiquement toute la chronologie des événements et fourni des informations détaillées sur les modifications soumises dans le cadre de l'étude.
Source : opennet.ru
