Il consiglio tecnico dell'organizzazione Linux Foundation ha pubblicato un rapporto riassuntivo sull'incidente con i ricercatori dell'Università del Minnesota, relativo al tentativo di includere nel kernel patch contenenti errori nascosti che portano a vulnerabilità. Gli sviluppatori del kernel hanno confermato le informazioni precedentemente pubblicate riguardo al fatto che 4 delle 5 patch preparate durante lo studio "Hypocrite Commits" contenenti vulnerabilità sono state immediatamente respinte per iniziativa dei maintainers e non sono state incluse nel repository del kernel. Una patch è stata accettata, ma essa risolveva correttamente il problema e non conteneva errori.
Sono stati inoltre analizzati 435 commit, comprensivi di correzioni inviate dagli sviluppatori dell'Università del Minnesota che non erano correlate alla sperimentazione per la promozione di vulnerabilità nascoste. Dal 2018, un gruppo di ricercatori dell'Università del Minnesota ha partecipato attivamente alla correzione di errori. La revisione ha rivelato che non ci sono state attività dannose nei commit analizzati, ma ha messo in evidenza alcuni errori involontari e carenze.
349 commit sono stati ritenuti corretti e lasciati senza modifiche. In 39 commit sono state riscontrate problematiche che necessitano correzioni: questi commit sono stati annullati e saranno sostituiti con correzioni più adeguate prima del rilascio del kernel 5.13. Gli errori in 25 commit sono stati corretti in successive modifiche. 12 commit sono stati considerati obsoleti, in quanto riguardavano sistemi superati, già rimossi dal kernel. Uno dei commit corretti è stato annullato su richiesta dell'autore. 9 commit corretti sono stati inviati da indirizzi @umn.edu ben prima della formazione del gruppo di ricercatori considerato.
Per ripristinare la fiducia nella squadra dell'Università del Minnesota e reintegrare la possibilità di partecipazione allo sviluppo del kernel, l'organizzazione Linux Foundation ha formulato una serie di richieste, gran parte delle quali è già stata soddisfatta. Ad esempio, i ricercatori hanno già ritirato la pubblicazione "Hypocrite Commits" e annullato la loro partecipazione alla conferenza IEEE Symposium, nonché divulgato pubblicamente l'intera cronologia degli eventi e fornito dettagliate informazioni sulle modifiche inviate durante la ricerca.
Fonte: opennet.ru
