សាកលវិទ្យាល័យ Minnesota ត្រូវបានផ្អាកពីការអភិវឌ្ឍស្នូល Linux សម្រាប់ការផ្ញើបំណះគួរឱ្យសង្ស័យ

លោក Greg Kroah-Hartman អ្នកថែទាំសាខាខឺណែលដែលមានស្ថេរភាព Linux, បានសម្រេចចិត្តហាមឃាត់ការចូលទៅក្នុងស្នូល Linux ការផ្លាស់ប្តូរណាមួយដែលមកពីសាកលវិទ្យាល័យ Minnesota ក៏ដូចជាការរំកិលបំណះដែលទទួលយកពីមុនទាំងអស់ ហើយពិនិត្យឡើងវិញនូវពួកវា។ ការរារាំងនេះបណ្តាលមកពីសកម្មភាពរបស់ក្រុមស្រាវជ្រាវដែលសិក្សាពីលទ្ធភាពនៃការណែនាំចំណុចខ្សោយដែលលាក់ទុកទៅក្នុងកូដនៃគម្រោងប្រភពបើកចំហ។ ក្រុមនេះបានដាក់ស្នើបំណះដែលមានកំហុសផ្សេងៗ តាមដានប្រតិកម្មរបស់សហគមន៍ និងស្វែងយល់ពីវិធីដើម្បីគេចវេះដំណើរការពិនិត្យ។ តាមគំនិតរបស់ Greg ការធ្វើការពិសោធន៍បែបនេះដើម្បីណែនាំការផ្លាស់ប្តូរដែលមានគំនិតអាក្រក់គឺមិនអាចទទួលយកបាន និងគ្មានសីលធម៌។

ហេតុផលសម្រាប់ការទប់ស្កាត់គឺដោយសារតែសមាជិកនៃក្រុមនេះបានផ្ញើបំណះដែលបន្ថែមការត្រួតពិនិត្យទ្រនិចដើម្បីលុបបំបាត់ការហៅពីរដងដែលអាចកើតមាននៃមុខងារ "ឥតគិតថ្លៃ" ។ ដោយគិតពីបរិបទនៃការប្រើប្រាស់ទ្រនិច ការត្រួតពិនិត្យគឺគ្មានន័យទេ។ គោលបំណងនៃការដាក់ស្នើបំណះគឺដើម្បីមើលថាតើការផ្លាស់ប្តូរដែលមានកំហុសនឹងឆ្លងកាត់ការត្រួតពិនិត្យដោយអ្នកអភិវឌ្ឍន៍ខឺណែលឬអត់។ បន្ថែមពីលើបំណះនេះ ការប៉ុនប៉ងផ្សេងទៀតរបស់អ្នកអភិវឌ្ឍន៍មកពីសាកលវិទ្យាល័យ Minnesota បានកើតឡើងដើម្បីធ្វើការផ្លាស់ប្តូរគួរឱ្យសង្ស័យចំពោះខឺណែល រួមទាំងអ្វីដែលទាក់ទងនឹងការបន្ថែមភាពងាយរងគ្រោះដែលបានលាក់។

អ្នកចូលរួមដែលបានផ្ញើបំណះបានព្យាយាមបង្ហាញអំពីភាពត្រឹមត្រូវខ្លួនឯងដោយនិយាយថាគាត់កំពុងសាកល្បងឧបករណ៍វិភាគឋិតិវន្តថ្មី ហើយការផ្លាស់ប្តូរត្រូវបានរៀបចំដោយផ្អែកលើលទ្ធផលនៃការធ្វើតេស្តនៅក្នុងវា។ ប៉ុន្តែ Greg បានទាក់ទាញការយកចិត្តទុកដាក់ចំពោះការពិតដែលថាការជួសជុលដែលបានស្នើឡើងគឺមិនមានលក្ខណៈធម្មតាសម្រាប់កំហុសដែលបានរកឃើញដោយអ្នកវិភាគឋិតិវន្ត ហើយបំណះដែលបានផ្ញើទាំងអស់មិនជួសជុលអ្វីទាំងអស់។ ដោយសារក្រុមស្រាវជ្រាវនៅក្នុងសំណួរបានព្យាយាមជំរុញបំណះសម្រាប់ភាពងាយរងគ្រោះដែលបានលាក់នាពេលកន្លងមក វាច្បាស់ណាស់ថាពួកគេបានបន្តការពិសោធន៍របស់ពួកគេជាមួយសហគមន៍អភិវឌ្ឍន៍ខឺណែល។

គួរឱ្យចាប់អារម្មណ៍កាលពីមុន អ្នកដឹកនាំក្រុមដែលធ្វើការពិសោធន៍បានចូលរួមនៅក្នុងការបំប្លែងភាពងាយរងគ្រោះស្របច្បាប់ ឧទាហរណ៍ ការកំណត់អត្តសញ្ញាណការលេចធ្លាយព័ត៌មាននៅក្នុងជង់ USB (CVE-2016-4482) និងប្រព័ន្ធរងបណ្តាញ (CVE-2016-4485) . នៅក្នុងការសិក្សាលើការផ្សព្វផ្សាយភាពងាយរងគ្រោះបំបាំងកាយ ក្រុមមកពីសាកលវិទ្យាល័យ Minnesota បានដកស្រង់ឧទាហរណ៍នៃ CVE-2019-12819 ដែលជាភាពងាយរងគ្រោះដែលបណ្តាលមកពីបំណះខឺណែលដែលបានចេញផ្សាយក្នុងឆ្នាំ 2014 ។ ការជួសជុលបានបន្ថែមការហៅទៅកាន់ put_device ទៅកាន់ប្លុកដោះស្រាយកំហុសនៅក្នុង mdio_bus ប៉ុន្តែប្រាំឆ្នាំក្រោយមកវាលេចចេញថាឧបាយកលបែបនេះនាំទៅដល់ការចូលទៅកាន់ប្លុកអង្គចងចាំបន្ទាប់ពីវាត្រូវបានដោះលែង ("ប្រើក្រោយមិនគិតថ្លៃ")។

ទន្ទឹមនឹងនេះ អ្នកនិពន្ធនៃការសិក្សាបានអះអាងថា នៅក្នុងការងាររបស់ពួកគេ ពួកគេបានសង្ខេបទិន្នន័យនៅលើបំណះចំនួន 138 ដែលបង្ហាញពីកំហុសឆ្គង និងមិនទាក់ទងនឹងអ្នកចូលរួមសិក្សានោះទេ។ ការព្យាយាមផ្ញើបំណះផ្ទាល់ខ្លួនរបស់ពួកគេជាមួយនឹងកំហុសត្រូវបានកំណត់ចំពោះការឆ្លើយឆ្លងតាមអ៊ីមែល ហើយការផ្លាស់ប្តូរបែបនេះមិនបានចូលទៅក្នុង Git ទេ (ប្រសិនបើបន្ទាប់ពីការផ្ញើបំណះតាមអ៊ីមែល អ្នកថែទាំបានចាត់ទុកបំណះធម្មតា បន្ទាប់មកគាត់ត្រូវបានគេស្នើសុំឱ្យមិនរួមបញ្ចូលការផ្លាស់ប្តូរចាប់តាំងពីទីនោះ។ គឺ​ជា​កំហុស បន្ទាប់​មក​ពួក​គេ​បាន​ផ្ញើ​បំណះ​ត្រឹមត្រូវ)។

បន្ថែម 1: វិនិច្ឆ័យដោយសកម្មភាពរបស់អ្នកនិពន្ធនៃបំណះដែលត្រូវបានរិះគន់គាត់បានផ្ញើបំណះទៅប្រព័ន្ធរងខឺណែលផ្សេងៗអស់រយៈពេលជាយូរ។ ឧទាហរណ៍ កម្មវិធីបញ្ជា radeon និង nouveau ថ្មីៗនេះបានទទួលយកការផ្លាស់ប្តូរជាមួយនឹងការហៅទៅកាន់ pm_runtime_put_autosuspend(dev->dev) នៅក្នុងប្លុកដែលមានកំហុស ដែលអាចបណ្តាលឱ្យប្រើសតិបណ្ដោះអាសន្នបន្ទាប់ពីដោះលែងអង្គចងចាំដែលភ្ជាប់ជាមួយវា។

ឧបសម្ព័ន្ធទី 2៖ Greg បានត្រលប់មកវិញនូវការប្តេជ្ញាចិត្តចំនួន 190 ដែលពាក់ព័ន្ធជាមួយ "@umn.edu" ហើយបានផ្តួចផ្តើមការពិនិត្យឡើងវិញអំពីពួកគេ។ បញ្ហាគឺថាសមាជិកដែលមានអាសយដ្ឋាន "@umn.edu" មិនត្រឹមតែបានធ្វើការពិសោធន៍ជាមួយនឹងការរុញបំណះគួរឱ្យសង្ស័យប៉ុណ្ណោះទេ ថែមទាំងបានជួសជុលភាពងាយរងគ្រោះពិតប្រាកដផងដែរ ហើយការវិលត្រឡប់មកវិញនៃការផ្លាស់ប្តូរអាចបណ្តាលឱ្យមានបញ្ហាសុវត្ថិភាពដែលបានជួសជុលពីមុនត្រឡប់មកវិញ។ អ្នកថែទាំមួយចំនួនបានពិនិត្យមើលឡើងវិញនូវការផ្លាស់ប្តូរដែលបានត្រលប់មកវិញរួចហើយ ហើយមិនឃើញមានបញ្ហាអ្វីទេ ប៉ុន្តែអ្នកថែទាំម្នាក់បានបង្ហាញថា បំណះដែលផ្ញើទៅគាត់មានកំហុស។

ប្រភព: opennet.ru