צוות מאוניברסיטת מינסוטה חשף פרטים על השינויים הזדוניים שנשלחו.

בעקבות מכתב התנצלות פתוח, קבוצת חוקרים מאוניברסיטת מינסוטה, שגרג קרואה-הרטמן חסמה את קבלת השינויים בקרנל הלינוקס, חשפה מידע מפורט על התיקונים שנשלחו למפתחי הליבה וההתכתבות עם המתחזקים הקשורים לטלאים הללו.

ראוי לציין כי כל התיקונים הבעייתיים נדחו ביוזמת המתחזקים, אף תיקון אחד לא אושר. עובדה זו מבהירה מדוע גרג קרואה-הרטמן פעל בצורה כה קשה, שכן לא ברור מה החוקרים היו עושים אילו התיקונים היו מאושרים על ידי המתחזקים. בדיעבד, הם טענו שהם התכוונו לדווח על באג ולא היו מאפשרים לתיקונים לעבור ל-Git, אבל לא ברור מה הם היו עושים בפועל ועד כמה רחוק הם היו הולכים.

סך הכל באוגוסט 2020 מכתובות אנונימיות [מוגן בדוא"ל] и [מוגן בדוא"ל] (מכתב מג'יימס בונד) נשלחו חמישה תיקונים: שניים נכונים (1, 2) ושלושה המכילים שגיאות נסתרות (1, 2, 3), ויוצרים תנאים לפגיעויות. כל תיקון הכיל רק 1-4 שורות קוד. הרעיון המרכזי מאחורי התיקונים השגויים היה שתיקון דליפת זיכרון יכול ליצור מצב פגיעות פנוי כפול. שבוע לאחר מכן נשלח מידע למפתחי הליבה עם הצעה לדון באפשרות לקדם נקודות תורפה במסווה של תיקונים טריוויאליים לדליפות זיכרון, אך דבר לא נאמר על ניסיונות קודמים לשלוח טלאים זדוניים.

התיקון הבעייתי הראשון תיקן את דליפת הזיכרון על ידי הוספת קריאה ל-kfree() לפני החזרת השליטה במקרה של שגיאה, אך יצר תנאים לגישה לאזור הזיכרון לאחר שהשתחרר (use-after-free). התיקון הזה נדחה על ידי המתחזק (Jiri Slaby), שזיהה את הבעיה והצביע על כך שלפני שנה מישהו כבר ניסה להציע שינוי דומה והוא התקבל בתחילה, אך לאחר מכן נמחק לאחר זיהוי התנאים לפגיעות. > p2 = p1[n] = kmalloc_array(64, sizeof(u16), GFP_KERNEL); > - אם (!p2) מחזירה -ENOMEM; > + if (!p2) { > + kfree(p1); > + החזר -ENOMEM; > + }

התיקון השני הכיל גם תנאים לבעיה שלאחר השימוש. התיקון שצוין לא התקבל על ידי המתחזק (דן קרפנטר), שדחה את התיקון עקב בעיה אחרת עם list_add_tail, אך לא שם לב שניתן לשחרר את מצביע ה"chdev" בפונקציית put_device, המשמשת להלן בקריאה dev_err(&chdev ->dev..). עם זאת, התיקון לא התקבל, אם כי מסיבות שאינן קשורות לפגיעות. if (ret < 0) { + put_device(&chdev->dev); dev_err(&chdev->dev, DRV_NAME ": kfifo_alloc נכשל\n"); ret = -ENOMEM; goto err_fifo;

גם התיקון השלישי לא התקבל על ידי המתחזק (מיקל ריינל) בגלל באג אחר שלא קשור לפגיעות (קריאה כפולה ל-pdev). if (!window->virt) { printk(KERN_ERR MOD_NAME ": ioremap(%08lx, %08lx) נכשל\n", window->phys, window->size); + pci_dev_put(pdev); לצאת החוצה; } ... if (!map) { printk(KERN_ERR MOD_NAME ": kmalloc נכשל"); + pci_dev_put(pdev); לצאת החוצה; } memset(map, 0, sizeof(*map)); ... if (mtd_device_register(map->mtd, NULL, 0)) { map_destroy(map->mtd); map->mtd = NULL; + pci_dev_put(pdev); לצאת החוצה; }

מעניין שבהתחלה 4 מתוך 5 תיקונים הונחו עם בעיות, אך החוקרים עצמם עשו טעות ובתיקון אחד שהיה בעייתי, לדעתם, הוצע תיקון נכון, ללא התנאים הצפויים לשימוש בזיכרון לאחר התרחשות חופשית. err = pci_request_mem_regions(pdev, nitrox_driver_name); if (err) { pci_disable_device(pdev); + dev_err(&pdev->dev, "נכשל בבקשת אזורי mem!\n"); שגיאה חוזרת; }

מקור: OpenNet.ru