Gregs Kroahs-Hartmans, kurš ir atbildīgs par Linux kodola stabilās filiāles uzturēšanu, nolēma aizliegt jebkādu izmaiņu pieņemšanu no Minesotas Universitātes Linux kodolā, kā arī atsaukt visus iepriekš pieņemtos ielāpus un atkārtoti tos pārskatīt. Bloķēšanas iemesls bija pētnieku grupas darbība, kas pētīja iespēju atvērtā pirmkoda projektu kodā veicināt slēptās ievainojamības. Šī grupa iesniedza ielāpus, kas satur dažādu veidu kļūdas, novēroja kopienas reakciju un pētīja veidus, kā krāpt pārskatīšanas procesu attiecībā uz izmaiņām. Pēc Grega domām, šādu eksperimentu veikšana, lai ieviestu ļaunprātīgas izmaiņas, ir nepieņemama un neētiska.
Bloķēšanas iemesls bija tas, ka šīs grupas dalībnieki nosūtīja ielāpu, kas pievienoja rādītāja pārbaudi, lai novērstu iespējamo dubultās funkcijas “bezmaksas” izsaukumu. Ņemot vērā rādītāja lietošanas kontekstu, pārbaude bija bezjēdzīga. Ielāpa iesniegšanas mērķis bija noskaidrot, vai kodola izstrādātāji izturēs kļūdaino izmaiņu pārskatīšanu. Papildus šim ielāpam ir parādījušies arī citi Minesotas universitātes izstrādātāju mēģinājumi veikt apšaubāmas izmaiņas kodolā, tostarp tās, kas saistītas ar slēptu ievainojamību pievienošanu.
Dalībnieks, kurš nosūtījis ielāpus, mēģināja taisnoties, ka viņš testē jaunu statisko analizatoru un izmaiņas tika sagatavotas, pamatojoties uz testēšanas rezultātiem tajā. Bet Gregs vērsa uzmanību uz to, ka piedāvātie labojumi nav raksturīgi statisko analizatoru atklātajām kļūdām, un visi nosūtītie ielāpi vispār neko nelabo. Ņemot vērā, ka attiecīgā pētnieku grupa pagātnē ir mēģinājusi ieviest ielāpus slēptām ievainojamībām, ir skaidrs, ka viņi ir turpinājuši eksperimentus ar kodola izstrādes kopienu.
Interesanti, ka agrāk eksperimentus veicošās grupas vadītājs bija iesaistīts likumīgā ievainojamību ielāpā, piemēram, informācijas noplūdes identificēšanā USB stekā (CVE-2016-4482) un tīkla apakšsistēmā (CVE-2016-4485) . Pētījumā par slepenas ievainojamības izplatīšanu Minesotas Universitātes komanda min piemēru CVE-2019-12819 — ievainojamību, ko izraisa 2014. gadā izlaists kodola ielāps. Labojums pievienoja izsaukumu put_device kļūdu apstrādes blokam mdio_bus, taču piecus gadus vēlāk atklājās, ka šādas manipulācijas noved pie piekļuves atmiņas blokam pēc tā atbrīvošanas (“izmantošana pēc brīva”).
Vienlaikus pētījuma autori apgalvo, ka savā darbā apkopojuši datus par 138 ielāpiem, kas ieviesa kļūdas un nebija saistīti ar pētījuma dalībniekiem. Mēģinājumi nosūtīt savus ielāpus ar kļūdām aprobežojās ar e-pasta korespondenci, un šādas izmaiņas neiekļuva Git (ja pēc ielāpa nosūtīšanas pa e-pastu uzturētājs uzskatīja, ka ielāps ir normāls, viņam tika lūgts neiekļaut izmaiņas, jo tur bija kļūda, pēc kuras viņi nosūtīja pareizo ielāpu).
1. papildinājums: Spriežot pēc kritizētā ielāpa autora aktivitātes, viņš jau ilgāku laiku sūta ielāpus dažādām kodola apakšsistēmām. Piemēram, radeon un nouveau draiveri nesen pieņēma izmaiņas, izsaucot pm_runtime_put_autosuspend(dev->dev) kļūdu blokā, iespējams, izraisot bufera izmantošanu pēc ar to saistītās atmiņas atbrīvošanas.
2. pielikums: Gregs ir atsaucis 190 saistības, kas saistītas ar "@umn.edu", un sācis to atkārtotu pārskatīšanu. Problēma ir tā, ka dalībnieki ar "@umn.edu" adresēm ir ne tikai eksperimentējuši ar apšaubāmu ielāpu izspiešanu, bet arī izlabojuši reālas ievainojamības, un izmaiņu atcelšana var izraisīt iepriekš labotu drošības problēmu atgriešanos. Daži uzturētāji jau ir atkārtoti pārbaudījuši atsauktās izmaiņas un nekādas problēmas neatrada, taču viens no uzturētājiem norādīja, ka vienā no viņam nosūtītajiem ielāpiem ir kļūdas.
Avots: opennet.ru