Greg Kroah-Hartman, responsabile del supporto della branch stabile del kernel Linux, ha deciso di vietare l'accettazione di modifiche al kernel Linux provenienti dall'Università del Minnesota, e di annullare tutte le patch precedentemente accettate per una revisione. La ragione del blocco è stata l'attività di un gruppo di ricerca che studiava la possibilità di promuovere vulnerabilità nascoste nel codice dei progetti open source. Questo gruppo ha inviato patch contenenti vari tipi di errori, ha osservato le reazioni della comunità e ha studiato modi per ingannare il processo di revisione delle modifiche. Secondo Greg, esperimenti di questo tipo che mirano a introdurre modifiche dannose sono inaccettabili e non etici.
Il motivo del blocco è stato l'invio da parte dei membri di questo gruppo di una patch che aggiungeva un controllo del puntatore per escludere un possibile doppio richiamo della funzione «free». Data la contestualizzazione dell'uso del puntatore, il controllo era privo di significato. Lo scopo dell'invio della patch era studiare se la modifica errata sarebbe passata attraverso la revisione da parte degli sviluppatori del kernel. Oltre a questa patch, sono emerse altre tentativi da parte degli sviluppatori dell'Università del Minnesota di apportare modifiche sospette al kernel, inclusi tentativi legati all'aggiunta di vulnerabilità nascoste.
Il partecipante che ha inviato le patch ha cercato di giustificarsi dicendo di testare un nuovo analizzatore statico e che la modifica era stata preparata sulla base dei risultati della sua analisi. Tuttavia, Greg ha sottolineato che le correzioni proposte non erano caratteristiche degli errori identificabili dagli analizzatori statici, e tutte le patch inviate non correggevano affatto nulla. Considerando che il gruppo di ricercatori in questione aveva già cercato in passato di promuovere correzioni con vulnerabilità nascoste, è evidente che hanno continuato i loro esperimenti sulla comunità degli sviluppatori del kernel.
È interessante notare che in passato il responsabile del gruppo che conduceva gli esperimenti ha partecipato a correzioni legittime delle vulnerabilità, ad esempio ha individuato perdite di informazioni nello stack USB (CVE-2016-4482) e nel subsistema di rete (CVE-2016-4485). Nello studio sulla promozione nascosta delle vulnerabilità, il gruppo dell'Università del Minnesota cita un esempio di vulnerabilità CVE-2019-12819, causata da una correzione adottata nel kernel nel 2014. La correzione aggiungeva al blocco di gestione degli errori nel mdio_bus la chiamata put_device, ma dopo cinque anni è emerso che tale manipolazione portava all'accesso a un blocco di memoria dopo che era stato liberato ("use-after-free").
Inoltre, gli autori dello studio affermano che nel loro lavoro hanno generalizzato i dati su 138 patch che introducevano errori e non erano collegate ai partecipanti allo studio. I tentativi di invio di patch errate erano limitati alla corrispondenza via email, e tali modifiche non sono state incluse in Git (se dopo l'invio di una patch via email il maintainer considerava la patch normale, gli veniva chiesto di non includere la modifica perché conteneva un errore, dopo di che veniva inviata una patch corretta).
Supplemento 1: A giudicare dall'attività dell'autore della correzione criticata, ha già inviato patch a vari sottosistemi del kernel da tempo. Ad esempio, nei driver radeon e nouveau sono state recentemente accettate modifiche con la chiamata pm_runtime_put_autosuspend(dev->dev) nel blocco di errore, ed è probabile che ciò porti all'uso di un buffer dopo il rilascio della memoria a esso associata.
Supplemento 2: Greg ha ripristinato 190 commit relativi agli indirizzi "@umn.edu" e ha avviato una nuova revisione. Il problema è che i partecipanti con indirizzi "@umn.edu" non solo hanno sperimentato la promozione di patch sospette, ma hanno anche corretto reali vulnerabilità, e il ripristino delle modifiche potrebbe portare al ritorno di problemi di sicurezza precedentemente risolti. Alcuni maintainer hanno già ricontrollato le modifiche annullate e non hanno trovato problemi, ma uno dei maintainer ha fatto notare che in una delle patch inviate a lui c'erano errori.
Fonte: opennet.ru
