Greg Kroah-Hartman, responsabile del supporto della versione stabile del kernel Linux, ha deciso di vietare l'inserimento nell kernel Linux di qualsiasi modifica proveniente dall'Università del Minnesota, e di annullare tutte le patch precedentemente accettate per sottoporle a un nuovo riesame. La motivazione di questo divieto è stata l'attività di un gruppo di ricerca che stava studiando la possibilità di promuovere vulnerabilità occultate nel codice di progetti open source. Questo gruppo ha inviato patch contenenti vari tipi di errori, ha osservato le reazioni della comunità e ha studiato modi per ingannare il processo di revisione delle modifiche. Secondo Greg, condurre esperimenti del genere per introdurre modifiche dannose è inaccettabile e non etico.
Il motivo del blocco è stato l'invio da parte dei membri di questo gruppo di una patch che aggiungeva un controllo del puntatore per escludere una possibile chiamata doppia alla funzione "free". Considerando il contesto di utilizzo del puntatore, il controllo risultava superfluo. L'obiettivo dell'invio della patch era esaminare se la modifica errata sarebbe stata sottoposta a revisione dai sviluppatori del kernel. Oltre alla patch menzionata, sono emerse anche altre tentativi da parte degli sviluppatori dell'Università del Minnesota di apportare modifiche dubbie al kernel, comprese quelle relative all'aggiunta di vulnerabilità nascoste.
Il contributore che ha inviato le patch ha cercato di giustificarsi dicendo che stava testando un nuovo analizzatore statico e che la modifica era basata sui risultati della sua analisi. Tuttavia, Greg ha fatto notare che le correzioni proposte non sono tipiche degli errori rilevati dagli analizzatori statici e che tutte le patch inviate non risolvono effettivamente nulla. Considerando che il gruppo di ricercatori in questione ha già tentato in passato di promuovere correzioni con vulnerabilità nascoste, è evidente che hanno continuato i loro esperimenti sulla comunità degli sviluppatori del kernel.
È interessante notare che in passato il leader del gruppo di esperimenti ha partecipato a correzioni legittime di vulnerabilità, ad esempio ha identificato perdite di informazioni nello stack USB (CVE-2016-4482) e nel sottosistema di rete (CVE-2016-4485). Nello studio sulla promozione nascosta delle vulnerabilità, un gruppo dell'Università del Minnesota cita l'esempio della vulnerabilità CVE-2019-12819, causata da una correzione adottata nel kernel nel 2014. La correzione aggiungeva nella routine di gestione degli errori in mdio_bus la chiamata put_device, ma dopo cinque anni è emerso che tale operazione porta a un accesso alla memoria dopo che è stata liberata (“use-after-free”).
Tuttavia, gli autori dello studio affermano che nel loro lavoro hanno generalizzato dati su 138 patch che introducevano errori e che non erano correlate ai partecipanti allo studio. I tentativi di inviare patch errate erano limitati a corrispondenza via email, e tali modifiche non sono state mai incluse in Git (se, dopo l'invio della patch via email, il maintainer riteneva la patch valida, gli veniva chiesto di non includere la modifica poiché conteneva un errore, dopo di che veniva inviata la patch corretta).
Aggiunta 1: Dall'attività dell'autore della correzione criticata, è chiaro che invia patch a vari sottomoduli del kernel da tempo. Recentemente, ad esempio, sono state accettate modifiche nei driver radeon e nouveau, con la chiamata pm_runtime_put_autosuspend(dev->dev) nel blocco degli errori, e non è escluso che questo porti all'uso di un buffer dopo la liberazione della memoria associata.
Aggiunta 2: Greg ha annullato 190 commit legati agli indirizzi «@umn.edu» e ha avviato una nuova revisione di questi. Il problema è che i partecipanti con indirizzi «@umn.edu» non solo hanno sperimentato con la promozione di patch dubbie, ma hanno anche risolto vere vulnerabilità, e l'annullamento delle modifiche potrebbe riportare indietro problemi di sicurezza precedentemente corretti. Alcuni manutentori hanno già ricontrollato le modifiche annullate e non hanno trovato problemi, ma uno di essi ha segnalato errori in una delle patch inviategli.
Fonte: opennet.ru
