A FreeBSD 13 release was controversially stripped of the code implementing the VPN protocol WireGuard, developed on behalf of Netgate without consultation with the original WireGuard developers, and which had already been included in the stable releases of the pfSense distribution. After reviewing the code by Jason A. Donenfeld, the author of the original WireGuard, it became clear that the proposed implementation for FreeBSD represented a prime example of poor-quality code, rife with buffer overflows and violating the GPL license. <\/p>\n
A megval\u00f3s\u00edt\u00e1s sor\u00e1n katasztrof\u00e1lis hib\u00e1kat tal\u00e1ltak a kriptogr\u00e1fiai k\u00f3dban, elmaradt a WireGuard protokoll egy r\u00e9sze, voltak hib\u00e1k, amelyek a kernel \u00f6sszeoml\u00e1s\u00e1hoz vezettek \u00e9s a v\u00e9delmi m\u00f3dszerek kiker\u00fcl\u00e9s\u00e9hez. Az input adatokhoz r\u00f6gz\u00edtett m\u00e9ret\u0171 puffereket haszn\u00e1ltak. A k\u00f3d min\u0151s\u00e9g\u00e9r\u0151l sokat elmond a mindig \"igaz\" \u00e9rt\u00e9ket visszaad\u00f3 helyettes\u00edt\u0151k megl\u00e9te, a titkos\u00edt\u00e1shoz haszn\u00e1lt param\u00e9terek ki\u00edr\u00e1s\u00e1hoz haszn\u00e1lt elfeledett debug printf, valamint a versenyhelyzetek elker\u00fcl\u00e9s\u00e9re haszn\u00e1lt sleep f\u00fcggv\u00e9ny alkalmaz\u00e1sa. <\/p>\n
Some parts of the code, such as the crypto_xor function, were transferred from WireGuard's implementation for Linux in violation of the GPL license. As a result, Jason Donenfeld, along with Kyle Evans and Matt Dunwoodie (the author of the WireGuard port for OpenBSD), took on the task of reworking the problematic implementation and completely replaced all of the Netgate-hired developer's code within a week. The revised version was released as a separate set of patches, hosted in the WireGuard project repository, and has not yet been included in FreeBSD. <\/p>\n
\u00c9rdekes, hogy kezdetben semmi nem jelezte a probl\u00e9m\u00e1t, a Netgate c\u00e9g, amely a WireGuard haszn\u00e1latra szeretett volna lehet\u0151s\u00e9get kapni a pfSense disztrib\u00faci\u00f3ban, felk\u00e9rte Matthew Macy-t, aki j\u00f3l ismeri a FreeBSD kernel\u00e9t \u00e9s h\u00e1l\u00f3zati stackj\u00e9t, r\u00e9szt vett a hib\u00e1k jav\u00edt\u00e1s\u00e1ban, \u00e9s tapasztalattal rendelkezik e h\u00e1l\u00f3zati oper\u00e1ci\u00f3s rendszerhez k\u00e9sz\u00fclt illeszt\u0151programok fejleszt\u00e9s\u00e9ben. Macy-nek szabad id\u0151beoszt\u00e1st adtak hat\u00e1rid\u0151k \u00e9s k\u00f6ztes ellen\u0151rz\u00e9sek n\u00e9lk\u00fcl. A FreeBSD-n dolgoz\u00f3 fejleszt\u0151k Macy-t tehets\u00e9ges \u00e9s profi programoz\u00f3nak jellemezt\u00e9k, aki nem hib\u00e1zik t\u00f6bbet, mint m\u00e1sok, \u00e9s megfelel\u0151en reag\u00e1l a kritik\u00e1ra. Az WireGuard FreeBSD-re val\u00f3 megval\u00f3s\u00edt\u00e1s\u00e1nak siralmas k\u00f3dmin\u0151s\u00e9ge meglepet\u00e9st okozott sz\u00e1mukra. <\/p>\n
Kilenc h\u00f3napos munka ut\u00e1n tavaly decemberben Macy, a harmadik felek \u00e1ltali fel\u00fclvizsg\u00e1lat \u00e9s tesztel\u00e9s befejez\u00e9se n\u00e9lk\u00fcl, hozz\u00e1adta megval\u00f3s\u00edt\u00e1s\u00e1t a HEAD \u00e1ghoz, amely a FreeBSD 13 kiad\u00e1s\u00e1nak kialak\u00edt\u00e1s\u00e1ra szolg\u00e1lt. A fejleszt\u00e9s az eredeti WireGuard fejleszt\u0151ivel \u00e9s az OpenBSD \u00e9s NetBSD portokkal val\u00f3 kapcsolat n\u00e9lk\u00fcl zajlott. Febru\u00e1rban a Netgate integr\u00e1lta a WireGuard-ot a pfSense 2.5.0 stabil kiad\u00e1s\u00e1ba, \u00e9s elkezdte sz\u00e1ll\u00edtani az azon alapul\u00f3 t\u0171zfalakba. A probl\u00e9m\u00e1k felfedez\u00e9se ut\u00e1n a WireGuard k\u00f3dj\u00e1t elt\u00e1vol\u00edtott\u00e1k a pfSense-b\u0151l. <\/p>\n
A hozz\u00e1adott k\u00f3dban kritikus sebezhet\u0151s\u00e9gek t\u0171ntek fel, amelyeket 0-day exploitokban haszn\u00e1ltak, de a Netgate az elej\u00e9n nem ismerte el a sebezhet\u0151s\u00e9gek l\u00e9tez\u00e9s\u00e9t, \u00e9s megpr\u00f3b\u00e1lta megv\u00e1dolni az eredeti WireGuard fejleszt\u0151j\u00e9t a t\u00e1mad\u00e1sokkal \u00e9s az elfogults\u00e1ggal, ami negat\u00edvan t\u00fckr\u00f6z\u0151d\u00f6tt a h\u00edrnev\u00e9n. A port fejleszt\u0151je kezdetben elutas\u00edtotta a k\u00f3dmin\u0151s\u00e9ggel kapcsolatos panaszokat, \u00e9s t\u00falz\u00f3nak tartotta \u0151ket, de a hib\u00e1k demonstr\u00e1l\u00e1sa ut\u00e1n \u00e9szrevette, hogy val\u00f3ban fontos probl\u00e9ma a megfelel\u0151 k\u00f3dmin\u0151s\u00e9g-ellen\u0151rz\u00e9s hi\u00e1nya a FreeBSD eset\u00e9ben, hiszen a probl\u00e9m\u00e1k h\u00f3napokig \u00e9szrev\u00e9tlenek maradtak (a Netgate k\u00e9pvisel\u0151i azt \u00e1ll\u00edtott\u00e1k, hogy a nyilv\u00e1nos fel\u00fclvizsg\u00e1lat m\u00e1r 2020 augusztus\u00e1ban elindult, de a FreeBSD egyes fejleszt\u0151i megjegyezt\u00e9k, hogy a Phabricator fel\u00fclvizsg\u00e1lata Macy \u00e1ltal teljes\u00edt\u00e9s n\u00e9lk\u00fcl \u00e9s a megjegyz\u00e9sek figyelmen k\u00edv\u00fcl hagy\u00e1s\u00e1val lez\u00e1rult). A FreeBSD Core Team reag\u00e1lt az esetre azzal, hogy \u00edg\u00e9retet tettek a k\u00f3dellen\u0151rz\u00e9si folyamatok moderniz\u00e1l\u00e1s\u00e1ra. <\/p>\n
Matthew Maisy, a developer of the problematic port for FreeBSD, commented on the situation by stating that he made a big mistake taking on the project when he was not ready to implement it. He explains the resulting outcome as a consequence of emotional burnout and issues arising from post-COVID syndrome. At the same time, Maisy did not find the determination to refuse the commitments he had already taken on and tried to see the project through to completion. <\/p>\n