Greg Kroah-Hartman, aki a Linux kernel stabil ágának támogatásáért felel, úgy döntött, hogy megtiltja bármilyen módosítás elfogadását a Linux kernelbe a Minnesota Egyetemről, valamint visszavonja az összes korábban elfogadott javítást és újraértékeli azokat. A blokkolás oka egy kutatócsoport tevékenysége volt, amely rejtett sebezhetőségek elhelyezésére törekedett nyílt forráskódú projektek kódjában. A csoport olyan javításokat küldött, amelyek különféle hibákat tartalmaztak, figyelték a közösség reakcióját, és tanulmányozták a módokat, hogyan lehetne kijátszani a módosítások felülvizsgálati folyamatát. Greg véleménye szerint az ilyen kísérletek végrehajtása, amelyek rosszindulatú változtatások bevezetésére irányulnak, elfogadhatatlan és etikátlan.
A blokkolás oka az volt, hogy a csoport tagjai olyan javítást küldtek, amely ellenőrzést adott a pointerre, hogy elkerüljék a lehetséges kétszeres hívásokat a 'free' függvényhez. Figyelembe véve a pointer használatának kontextusát, az ellenőrzés értelmetlen volt. A javítás célja az volt, hogy megvizsgálja, átmegy-e a hibás változtatás a kernel fejlesztői által végzett felülvizsgálaton. Az említett javításon kívül más kétes javaslatok is felmerültek a Minnesota Egyetem fejlesztőitől a kernelbe, beleértve a rejtett sebezhetőségek hozzáadására vonatkozókat.
A javításokat benyújtó résztvevő próbálta védeni magát azzal, hogy egy új statikus elemzőt tesztel, és a változtatás a benne végzett ellenőrzések alapján készült. De Greg rámutatott, hogy a javasolt javítások nem jellemzőek a statikus elemzők által észlelt hibákra, és az összes benyújtott javítás valójában nem javít semmit. Figyelembe véve, hogy a vizsgált kutatói csoport már korábban is próbálkozott rejtett sebezhetőségek javaslatával, nyilvánvaló, hogy folytatták kísérleteiket a kernel fejlesztői közösségen.
Érdekes, hogy a korábbi kísérletező csoport vezetője részt vett a sebezhetőségek legitim javításában, például információszivárgások felfedezésében az USB-stackben (CVE-2016-4482) és a hálózati alrendszerben (CVE-2016-4485). A Minnesota Egyetem rejtett sebezhetőségek előmozdításával foglalkozó kutatásában említik a CVE-2019-12819 sebezhetőséget, amely egy 2014-ben a kernelbe bevezetett javítás által vált ismertté. A javítás egy put_device hívást adott hozzá a mdio_bus hibakezelési blokkjához, de öt évvel később kiderült, hogy egy ilyen manipuláció a memória blokkhoz való hozzáférést eredményezi a felszabadítása után ("use-after-free").
Eközben a kutatás szerzői azt állítják, hogy munkájukban összefoglalták 138 hibás javítást, amelyek nem kapcsolódtak a kutatás résztvevőihez. A saját hibás javítások küldési próbálkozásai e-mail váltásra korlátozódtak, és az ilyen változtatások nem kerültek be a Git-be (ha a patch e-mailben történő elküldése után a karbantartó normálisnak találta a patch-et, akkor kérte, hogy ne legyen a változtatás bekapcsolva, mivel hibát tartalmazott, majd elküldték a helyes javítást).
Kiegészítés 1: A kritizált javítás szerzőjének aktivitása alapján régóta küld hibás javításokat a kernel különböző alrendszereibe. Például a radeon és nouveau driverekbe nemrégiben kerültek be változtatások a pm_runtime_put_autosuspend(dev->dev) hibakezelési blokkjában, ami feltehetőleg a melléklettel együtt a kapcsolódó memória felszabadítása után a pufferek használatához vezetett.
Kiegészítés 2: Greg visszavont 190 commitot, amelyek a "@umn.edu" címekhez kapcsolódtak, és kezdeményezte azok újbóli szakmai ellenőrzését. A probléma az, hogy a "@umn.edu" című résztvevők nemcsak a kétes patch-ek előmozdításával kísérleteztek, hanem valódi sebezhetőségeket is múltak, és a változtatások visszavonása régi biztonsági problémák visszatéréséhez vezethet. Néhány karbantartó már ellenőrizte a törölt változtatásokat, és nem talált problémákat, de az egyik karbantartó jelezte, hogy az egyik neki küldött patch-ben hibák voltak.
Forrás: opennet.ru
