Il consiglio tecnico dell'organizzazione Linux Foundation ha pubblicato un rapporto riassuntivo sull'incidente con i ricercatori dell'Università del Minnesota, legato al tentativo di introdurre nel kernel patch contenenti errori nascosti che portano a vulnerabilità. Gli sviluppatori del kernel hanno confermato le informazioni precedentemente pubblicate secondo cui, su 5 patch preparate nell'ambito della ricerca "Hypocrite Commits", 4 patch contenenti vulnerabilità sono state immediatamente respinte e non sono entrate nel repository del kernel per iniziativa dei maintainer. Una patch è stata accettata perché correggeva correttamente il problema e non conteneva errori.
Sono stati inoltre analizzati 435 commit contenenti correzioni inviate dai sviluppatori dell'Università del Minnesota e non legate alla conduzione dell'esperimento per la promozione di vulnerabilità nascoste. Dal 2018, il gruppo di ricercatori dell'Università del Minnesota ha partecipato attivamente alla correzione di errori. La revisione approfondita non ha rivelato attività dannose in questi commit, ma ha evidenziato alcuni errori e mancanze non intenzionali.
349 commit sono stati ritenuti corretti e lasciati invariati. In 39 commit sono state riscontrate problematiche che necessitano di correzione - questi commit sono stati annullati e saranno sostituiti con correzioni più appropriate prima della pubblicazione del kernel 5.13. Gli errori in 25 commit sono stati corretti in successivi cambiamenti. 12 commit non sono più rilevanti poiché riguardavano sistemi obsoleti già rimossi dal kernel. Uno dei commit corretti è stato annullato su richiesta dell'autore. 9 commit corretti sono stati inviati da indirizzi @umn.edu molto prima della formazione del gruppo di ricerca discusso.
Per ripristinare la fiducia nel team dell'Università del Minnesota e ripristinare la possibilità di partecipare allo sviluppo del kernel, l'organizzazione Linux Foundation ha avanzato una serie di requisiti, la maggior parte dei quali è già stata soddisfatta. Ad esempio, i ricercatori hanno già ritirato la pubblicazione "Hypocrite Commits" e annullato la loro presentazione alla conferenza IEEE Symposium, così come rivelato pubblicamente l'intera cronologia degli eventi e fornito dettagliate informazioni sulle modifiche inviate durante la ricerca.
Fonte: opennet.ru
