मिनेसोटा विश्वविद्यालय को संदिग्ध पैच भेजने के कारण लिनक्स कर्नेल विकास से निलंबित कर दिया गया

लिनक्स कर्नेल की स्थिर शाखा को बनाए रखने के लिए जिम्मेदार ग्रेग क्रोह-हार्टमैन ने मिनेसोटा विश्वविद्यालय से लिनक्स कर्नेल में आने वाले किसी भी बदलाव की स्वीकृति पर रोक लगाने का फैसला किया, और पहले से स्वीकृत सभी पैच को वापस लेने और उनकी फिर से समीक्षा करने का भी निर्णय लिया। अवरोधन का कारण एक शोध समूह की गतिविधियाँ थीं जो ओपन-सोर्स परियोजनाओं के कोड में छिपी कमजोरियों को बढ़ावा देने की संभावना का अध्ययन कर रही थीं। इस समूह ने विभिन्न प्रकार के बग वाले पैच प्रस्तुत किए, समुदाय की प्रतिक्रिया देखी, और परिवर्तनों के लिए समीक्षा प्रक्रिया को धोखा देने के तरीकों का अध्ययन किया। ग्रेग के अनुसार, दुर्भावनापूर्ण परिवर्तन लाने के लिए ऐसे प्रयोग करना अस्वीकार्य और अनैतिक है।

अवरुद्ध करने का कारण यह था कि इस समूह के सदस्यों ने एक पैच भेजा था जिसमें "फ्री" फ़ंक्शन की संभावित दोहरी कॉल को खत्म करने के लिए एक पॉइंटर चेक जोड़ा गया था। सूचक के उपयोग के संदर्भ को देखते हुए, जाँच व्यर्थ थी। पैच सबमिट करने का उद्देश्य यह देखना था कि क्या ग़लत परिवर्तन कर्नेल डेवलपर्स द्वारा समीक्षा में पास होगा या नहीं। इस पैच के अलावा, मिनेसोटा विश्वविद्यालय के डेवलपर्स द्वारा कर्नेल में संदिग्ध परिवर्तन करने के अन्य प्रयास भी सामने आए हैं, जिनमें छिपी हुई कमजोरियों को जोड़ने से संबंधित प्रयास भी शामिल हैं।

पैच भेजने वाले प्रतिभागी ने यह कहकर खुद को सही ठहराने की कोशिश की कि वह एक नए स्थैतिक विश्लेषक का परीक्षण कर रहा था और इसमें परीक्षण के परिणामों के आधार पर परिवर्तन तैयार किया गया था। लेकिन ग्रेग ने इस तथ्य पर ध्यान आकर्षित किया कि प्रस्तावित सुधार स्थैतिक विश्लेषकों द्वारा पाई गई त्रुटियों के लिए विशिष्ट नहीं हैं, और सभी भेजे गए पैच कुछ भी ठीक नहीं करते हैं। यह ध्यान में रखते हुए कि विचाराधीन अनुसंधान समूह ने पहले से ही छिपी हुई कमजोरियों के लिए पैच लगाने की कोशिश की थी, यह स्पष्ट है कि उन्होंने कर्नेल विकास समुदाय के साथ अपने प्रयोग जारी रखे।

दिलचस्प बात यह है कि अतीत में, प्रयोग करने वाले समूह के नेता कमजोरियों की वैध पैचिंग में शामिल थे, उदाहरण के लिए, यूएसबी स्टैक (सीवीई-2016-4482) और नेटवर्क सबसिस्टम (सीवीई-2016-4485) में सूचना लीक की पहचान करना। . गुप्त भेद्यता प्रसार पर एक अध्ययन में, मिनेसोटा विश्वविद्यालय की एक टीम CVE-2019-12819 का उदाहरण देती है, जो 2014 में जारी कर्नेल पैच के कारण होने वाली भेद्यता है। फिक्स ने mdio_bus में त्रुटि प्रबंधन ब्लॉक में put_device के लिए एक कॉल जोड़ा, लेकिन पांच साल बाद यह सामने आया कि इस तरह के हेरफेर से मेमोरी ब्लॉक के मुक्त होने के बाद उस तक पहुंच हो जाती है ("उपयोग-बाद-मुक्त")।

साथ ही, अध्ययन के लेखकों का दावा है कि अपने काम में उन्होंने 138 पैच पर डेटा का सारांश दिया जिसमें त्रुटियां थीं और अध्ययन प्रतिभागियों से संबंधित नहीं थीं। त्रुटियों के साथ अपने स्वयं के पैच भेजने के प्रयास ईमेल पत्राचार तक ही सीमित थे, और ऐसे परिवर्तन Git में नहीं आए (यदि, ईमेल द्वारा पैच भेजने के बाद, अनुरक्षक ने पैच को सामान्य माना, तो उसे वहां से परिवर्तन शामिल नहीं करने के लिए कहा गया था) एक त्रुटि थी, जिसके बाद उन्होंने सही पैच भेजा)।

अतिरिक्त 1: आलोचना किए गए पैच के लेखक की गतिविधि को देखते हुए, वह लंबे समय से विभिन्न कर्नेल उपप्रणालियों को पैच भेज रहा है। उदाहरण के लिए, रैडॉन और नोव्यू ड्राइवरों ने हाल ही में एक त्रुटि ब्लॉक में pm_runtime_put_autosuspend(dev->dev) पर कॉल के साथ परिवर्तन अपनाए हैं, जिससे संभवतः इससे जुड़ी मेमोरी को मुक्त करने के बाद बफर का उपयोग किया जा सकता है।

परिशिष्ट 2: ग्रेग ने "@umn.edu" से जुड़ी 190 प्रतिबद्धताओं को वापस ले लिया है और उनकी पुनः समीक्षा शुरू की है। समस्या यह है कि "@umn.edu" पते वाले सदस्यों ने न केवल संदिग्ध पैच को आगे बढ़ाने का प्रयोग किया है, बल्कि वास्तविक कमजोरियों को भी पैच किया है, और परिवर्तनों को वापस लेने से पहले से पैच किए गए सुरक्षा मुद्दे वापस आ सकते हैं। कुछ अनुरक्षकों ने पहले ही वापस किए गए परिवर्तनों की दोबारा जाँच कर ली है और उन्हें कोई समस्या नहीं मिली है, लेकिन अनुरक्षकों में से एक ने संकेत दिया कि उसे भेजे गए पैच में से एक में त्रुटियाँ थीं।

स्रोत: opennet.ru