મિનેસોટા યુનિવર્સિટીએ શંકાસ્પદ પેચો મોકલવા બદલ Linux કર્નલ ડેવલપમેન્ટમાંથી સસ્પેન્ડ કરી દીધું

લિનક્સ કર્નલની સ્થિર શાખા જાળવવા માટે જવાબદાર ગ્રેગ ક્રોહ-હાર્ટમેને, યુનિવર્સિટી ઓફ મિનેસોટા તરફથી Linux કર્નલમાં આવતા કોઈપણ ફેરફારોની સ્વીકૃતિ પર પ્રતિબંધ મૂકવાનો અને અગાઉ સ્વીકૃત થયેલા તમામ પેચોને પાછું ફેરવવાનું અને તેની પુનઃ સમીક્ષા કરવાનું નક્કી કર્યું. બ્લોક કરવાનું કારણ ઓપન-સોર્સ પ્રોજેક્ટ્સના કોડમાં છુપાયેલી નબળાઈઓને પ્રોત્સાહન આપવાની સંભાવનાનો અભ્યાસ કરતા સંશોધન જૂથની પ્રવૃત્તિઓ હતી. આ જૂથે વિવિધ પ્રકારની ભૂલો ધરાવતા પેચો સબમિટ કર્યા, સમુદાયની પ્રતિક્રિયાનું અવલોકન કર્યું અને ફેરફારો માટે સમીક્ષા પ્રક્રિયાને છેતરવાની રીતોનો અભ્યાસ કર્યો. ગ્રેગ અનુસાર, દૂષિત ફેરફારો દાખલ કરવા માટે આવા પ્રયોગો કરવા અસ્વીકાર્ય અને અનૈતિક છે.

બ્લોક કરવાનું કારણ એ હતું કે આ જૂથના સભ્યોએ એક પેચ મોકલ્યો હતો જેમાં "ફ્રી" ફંક્શનના સંભવિત ડબલ કૉલને દૂર કરવા માટે પોઇન્ટર ચેક ઉમેરવામાં આવ્યો હતો. નિર્દેશકના ઉપયોગના સંદર્ભને જોતાં, ચેક અર્થહીન હતો. પેચ સબમિટ કરવાનો હેતુ એ જોવાનો હતો કે શું ભૂલભરેલું ફેરફાર કર્નલ વિકાસકર્તાઓ દ્વારા સમીક્ષા પસાર કરશે. આ પેચ ઉપરાંત, મિનેસોટા યુનિવર્સિટીના વિકાસકર્તાઓ દ્વારા કર્નલમાં શંકાસ્પદ ફેરફારો કરવા માટેના અન્ય પ્રયાસો સામે આવ્યા છે, જેમાં છુપાયેલા નબળાઈઓના ઉમેરા સાથે સંબંધિત છે.

પેચ મોકલનાર સહભાગીએ એમ કહીને પોતાને ન્યાયી ઠેરવવાનો પ્રયાસ કર્યો કે તે નવા સ્ટેટિક વિશ્લેષકનું પરીક્ષણ કરી રહ્યો છે અને તેમાં પરીક્ષણના પરિણામોના આધારે ફેરફાર તૈયાર કરવામાં આવ્યો છે. પરંતુ ગ્રેગે એ હકીકત તરફ ધ્યાન દોર્યું કે સૂચિત સુધારાઓ સ્થિર વિશ્લેષકો દ્વારા શોધાયેલ ભૂલો માટે લાક્ષણિક નથી, અને બધા મોકલેલા પેચો કંઈપણ ઠીક કરતા નથી. આપેલ છે કે પ્રશ્નમાં સંશોધન જૂથે ભૂતકાળમાં છુપાયેલા નબળાઈઓ માટે પેચોને દબાણ કરવાનો પ્રયાસ કર્યો છે, તે સ્પષ્ટ છે કે તેઓએ કર્નલ વિકાસ સમુદાય સાથે તેમના પ્રયોગો ચાલુ રાખ્યા છે.

રસપ્રદ વાત એ છે કે, ભૂતકાળમાં, પ્રયોગો હાથ ધરતા જૂથના નેતા નબળાઈઓના કાયદેસર પેચિંગમાં સામેલ હતા, ઉદાહરણ તરીકે, યુએસબી સ્ટેક (CVE-2016-4482) અને નેટવર્ક સબસિસ્ટમ (CVE-2016-4485) માં માહિતી લીકને ઓળખવા. . સ્ટીલ્થ નબળાઈના પ્રચાર પરના અભ્યાસમાં, મિનેસોટા યુનિવર્સિટીની એક ટીમે CVE-2019-12819 નું ઉદાહરણ ટાંક્યું છે, જે 2014 માં પ્રકાશિત કર્નલ પેચને કારણે થતી નબળાઈ છે. ફિક્સે mdio_bus માં એરર હેન્ડલિંગ બ્લોકમાં put_device ને કૉલ ઉમેર્યો, પરંતુ પાંચ વર્ષ પછી તે બહાર આવ્યું કે આવી હેરફેર મેમરી બ્લોકને મુક્ત કર્યા પછી તેની ઍક્સેસ તરફ દોરી જાય છે ("ઉપયોગ-આફ્ટર-ફ્રી").

તે જ સમયે, અભ્યાસના લેખકો દાવો કરે છે કે તેમના કાર્યમાં તેઓએ 138 પેચો પરના ડેટાનો સારાંશ આપ્યો છે જેમાં ભૂલો રજૂ કરવામાં આવી હતી અને અભ્યાસ સહભાગીઓ સાથે સંબંધિત ન હતા. ભૂલો સાથે તેમના પોતાના પેચ મોકલવાના પ્રયાસો ઈમેલ પત્રવ્યવહાર પૂરતા મર્યાદિત હતા, અને આવા ફેરફારો ગિટમાં આવ્યા ન હતા (જો, ઈમેઈલ દ્વારા પેચ મોકલ્યા પછી, જાળવણીકર્તા પેચને સામાન્ય માને છે, તો પછી તેને ત્યાંથી ફેરફારનો સમાવેશ ન કરવાનું કહેવામાં આવ્યું હતું. એક ભૂલ હતી, જેના પછી તેઓએ સાચો પેચ મોકલ્યો હતો).

ઉમેરણ 1: ટીકા કરાયેલ પેચના લેખકની પ્રવૃત્તિને ધ્યાનમાં લેતા, તે લાંબા સમયથી વિવિધ કર્નલ સબસિસ્ટમ પર પેચો મોકલે છે. ઉદાહરણ તરીકે, radeon અને nouveau ડ્રાઇવરોએ તાજેતરમાં pm_runtime_put_autosuspend(dev->dev) ને ભૂલ બ્લોકમાં કોલ સાથે ફેરફારો અપનાવ્યા છે, જે સંભવતઃ તેની સાથે સંકળાયેલ મેમરીને મુક્ત કર્યા પછી બફરનો ઉપયોગ કરવા માટેનું કારણ બને છે.

પરિશિષ્ટ 2: ગ્રેગે "@umn.edu" સાથે સંકળાયેલા 190 કમિટ્સને પાછા ખેંચ્યા છે અને તેમની પુનઃ સમીક્ષા શરૂ કરી છે. સમસ્યા એ છે કે "@umn.edu" સરનામાં ધરાવતા સભ્યોએ માત્ર શંકાસ્પદ પેચોને દબાણ કરવા માટે જ પ્રયોગ કર્યો નથી, પરંતુ વાસ્તવિક નબળાઈઓને પણ પેચ કરી છે, અને ફેરફારોને રોલ બેક કરવાને પરિણામે અગાઉ પેચ કરેલી સુરક્ષા સમસ્યાઓ પરત આવી શકે છે. કેટલાક જાળવણીકારોએ પહેલાથી જ ઉલટાવેલ ફેરફારોને ફરીથી તપાસ્યા છે અને તેમને કોઈ સમસ્યા મળી નથી, પરંતુ એક જાળવણીકર્તાએ સૂચવ્યું કે તેમને મોકલવામાં આવેલા પેચમાંથી એકમાં ભૂલો હતી.

સોર્સ: opennet.ru