സംശയാസ്പദമായ പാച്ചുകൾ അയച്ചതിന് മിനസോട്ട സർവകലാശാലയെ ലിനക്സ് കേർണൽ വികസനത്തിൽ നിന്ന് സസ്പെൻഡ് ചെയ്തു

ലിനക്സ് കേർണലിന്റെ സ്റ്റേബിൾ ബ്രാഞ്ചിന്റെ പരിപാലകനായ ഗ്രെഗ് ക്രോ-ഹാർട്ട്മാൻ, മിനസോട്ട സർവകലാശാലയിൽ നിന്ന് വരുന്ന മാറ്റങ്ങൾ ലിനക്സ് കേർണലിലേക്ക് സ്വീകരിക്കുന്നത് തടയാനും മുമ്പ് സ്വീകരിച്ച എല്ലാ പാച്ചുകളും പിൻവലിക്കാനും അവ പുനഃപരിശോധിക്കാനും തീരുമാനിച്ചു. ഓപ്പൺ സോഴ്‌സ് പ്രോജക്റ്റുകളുടെ കോഡിലേക്ക് മറഞ്ഞിരിക്കുന്ന ദുർബലതകൾ അവതരിപ്പിക്കാനുള്ള സാധ്യത പഠിക്കുന്ന ഒരു ഗവേഷണ ഗ്രൂപ്പിന്റെ പ്രവർത്തനങ്ങളാണ് ഈ ബ്ലോക്ക് ആരംഭിച്ചത്. വിവിധ ബഗുകൾ അടങ്ങിയ പാച്ചുകൾ ഗ്രൂപ്പ് സമർപ്പിച്ചു, സമൂഹത്തിന്റെ പ്രതികരണം നിരീക്ഷിച്ചു, അവലോകന പ്രക്രിയയെ മറികടക്കാനുള്ള വഴികൾ അന്വേഷിച്ചു. ക്ഷുദ്രകരമായ മാറ്റങ്ങൾ അവതരിപ്പിക്കുന്നതിനായി അത്തരം പരീക്ഷണങ്ങൾ നടത്തുന്നത് അസ്വീകാര്യവും അധാർമ്മികവുമാണെന്ന് ഗ്രെഗ് വിശ്വസിക്കുന്നു.

"ഫ്രീ" ഫംഗ്ഷനിലേക്ക് സാധ്യമായ ഇരട്ട കോൾ തടയുന്നതിനായി ഒരു പോയിന്റർ ചെക്ക് ചേർത്ത ഒരു പാച്ച് ഈ ഗ്രൂപ്പിലെ അംഗങ്ങൾ സമർപ്പിച്ചതിനെത്തുടർന്ന് ഗ്രൂപ്പ് ബ്ലോക്ക് ചെയ്യപ്പെട്ടു. പോയിന്റർ ഉപയോഗത്തിന്റെ സന്ദർഭം കണക്കിലെടുക്കുമ്പോൾ, പരിശോധന അർത്ഥശൂന്യമായിരുന്നു. തെറ്റായ മാറ്റം കേർണൽ ഡെവലപ്പർമാരുടെ അവലോകനത്തിൽ വിജയിക്കുമോ എന്ന് പരിശോധിക്കുക എന്നതായിരുന്നു പാച്ച് സമർപ്പിക്കുന്നതിന്റെ ഉദ്ദേശ്യം. ഈ പാച്ചിന് പുറമേ, മറഞ്ഞിരിക്കുന്ന ദുർബലതകൾ അവതരിപ്പിക്കുന്നത് ഉൾപ്പെടെയുള്ള സംശയാസ്പദമായ മാറ്റങ്ങൾ കെർണലിൽ അവതരിപ്പിക്കാൻ മിനസോട്ട സർവകലാശാലയിൽ നിന്നുള്ള ഡെവലപ്പർമാർ നടത്തിയ മറ്റ് ശ്രമങ്ങളും പുറത്തുവന്നിട്ടുണ്ട്.

പാച്ചുകൾ സമർപ്പിച്ച വ്യക്തി, ഒരു പുതിയ സ്റ്റാറ്റിക് അനലൈസർ പരീക്ഷിക്കുകയാണെന്നും അതിന്റെ ഫലങ്ങളെ അടിസ്ഥാനമാക്കിയാണ് മാറ്റം വരുത്തിയതെന്നും അവകാശപ്പെട്ടുകൊണ്ട് സ്വയം ന്യായീകരിക്കാൻ ശ്രമിച്ചു. എന്നിരുന്നാലും, നിർദ്ദിഷ്ട പരിഹാരങ്ങൾ സ്റ്റാറ്റിക് അനലൈസറുകൾ കണ്ടെത്തിയ ബഗുകളുടെ സാധാരണമല്ലെന്നും സമർപ്പിച്ച എല്ലാ പാച്ചുകളും ഒന്നും പരിഹരിച്ചിട്ടില്ലെന്നും ഗ്രെഗ് ചൂണ്ടിക്കാട്ടി. ചോദ്യം ചെയ്യപ്പെട്ട ഗവേഷണ സംഘം മുമ്പ് മറഞ്ഞിരിക്കുന്ന ദുർബലതകൾക്കായി പാച്ചുകൾ നൽകാൻ ശ്രമിച്ചിരുന്നുവെന്ന് കണക്കിലെടുക്കുമ്പോൾ, അവർ കേർണൽ വികസന സമൂഹത്തിൽ അവരുടെ പരീക്ഷണങ്ങൾ തുടരുകയാണെന്ന് വ്യക്തമാണ്.

രസകരമെന്നു പറയട്ടെ, പരീക്ഷണങ്ങൾ നടത്തുന്ന ഗ്രൂപ്പിന്റെ നേതാവ് മുമ്പ് നിയമാനുസൃതമായ വൾനറബിലിറ്റി പാച്ചിംഗിൽ പങ്കെടുത്തിരുന്നു, ഉദാഹരണത്തിന്, USB സ്റ്റാക്കിലെയും (CVE-2016-4482) നെറ്റ്‌വർക്ക് സബ്സിസ്റ്റത്തിലെയും (CVE-2016-4485) വിവര ചോർച്ചകൾ തിരിച്ചറിയുന്നതിലൂടെ. രഹസ്യ വൾനറബിലിറ്റി പ്രൊമോഷനെക്കുറിച്ചുള്ള അവരുടെ പഠനത്തിൽ, മിനസോട്ട സർവകലാശാലയിലെ ടീം 2014-ൽ കേർണലിലേക്ക് സ്വീകരിച്ച ഒരു പാച്ച് മൂലമുണ്ടായ വൾനറബിലിറ്റി CVE-2019-12819 ന്റെ ഉദാഹരണം ഉദ്ധരിച്ചു. പാച്ച് mdio_bus-ലെ പിശക് കൈകാര്യം ചെയ്യൽ ബ്ലോക്കിലേക്ക് ഒരു put_device കോൾ ചേർത്തു, എന്നാൽ അഞ്ച് വർഷത്തിന് ശേഷം, ഈ കൃത്രിമത്വം ഒരു മെമ്മറി ബ്ലോക്കിലേക്കുള്ള ഉപയോഗത്തിന് ശേഷം-സ്വതന്ത്ര ആക്‌സസ്സിലേക്ക് നയിക്കുന്നുവെന്ന് കണ്ടെത്തി.

പഠനത്തിൽ പങ്കെടുക്കുന്നവരുമായി ബന്ധമില്ലാത്ത 138 ബഗ്-ഇൻട്രൂസിംഗ് പാച്ചുകളെക്കുറിച്ചുള്ള ഡാറ്റ സംഗ്രഹിച്ചതായി പഠനത്തിന്റെ രചയിതാക്കൾ അവകാശപ്പെടുന്നു. സ്വന്തം ബഗ്ഗി പാച്ചുകൾ സമർപ്പിക്കാനുള്ള ശ്രമങ്ങൾ ഇമെയിൽ കത്തിടപാടുകളിൽ മാത്രമായി പരിമിതപ്പെടുത്തി, അത്തരം മാറ്റങ്ങൾ Git-ൽ ഉൾപ്പെടുത്തിയിരുന്നില്ല (ഇമെയിൽ വഴി ഒരു പാച്ച് അയച്ചതിനുശേഷം, പരിപാലകൻ പാച്ച് സാധുവാണെന്ന് കരുതുകയാണെങ്കിൽ, അതിൽ ഒരു പിശക് അടങ്ങിയിരിക്കുന്നതിനാൽ മാറ്റം ഉൾപ്പെടുത്തരുതെന്ന് അവരോട് ആവശ്യപ്പെട്ടു, അതിനുശേഷം അവർക്ക് ശരിയായ പാച്ച് അയച്ചു).

അനുബന്ധം 1: വിമർശിക്കപ്പെട്ട പരിഹാരത്തിന്റെ രചയിതാവിന്റെ പ്രവർത്തനം വിലയിരുത്തുമ്പോൾ, അദ്ദേഹം വളരെക്കാലമായി വിവിധ കേർണൽ സബ്സിസ്റ്റങ്ങളിലേക്ക് പാച്ചുകൾ സമർപ്പിച്ചുകൊണ്ടിരിക്കുകയാണ്. ഉദാഹരണത്തിന്, റേഡിയൻ, നൂവോ ഡ്രൈവറുകൾ അടുത്തിടെ പിശക് ബ്ലോക്കിൽ pm_runtime_put_autosuspend(dev->dev) എന്ന് വിളിക്കുന്ന മാറ്റങ്ങൾ സ്വീകരിച്ചു, ഇത് അതുമായി ബന്ധപ്പെട്ട മെമ്മറി സ്വതന്ത്രമാക്കിയ ശേഷം ഒരു ബഫർ ഉപയോഗിക്കുന്നതിലേക്ക് നയിച്ചേക്കാം.

അപ്ഡേറ്റ് 2: "@umn.edu" വിലാസങ്ങളുമായി ബന്ധപ്പെട്ട 190 കമ്മിറ്റുകൾ ഗ്രെഗ് പഴയപടിയാക്കുകയും അവയുടെ പുനഃപരിശോധന ആരംഭിക്കുകയും ചെയ്തു. "@umn.edu" വിലാസങ്ങളുള്ള സംഭാവകർ സംശയാസ്പദമായ പാച്ചുകൾ പുഷ് ചെയ്യുന്നതിൽ പരീക്ഷണം നടത്തുക മാത്രമല്ല, യഥാർത്ഥ അപകടസാധ്യതകൾ പരിഹരിക്കുകയും ചെയ്തു എന്നതാണ് പ്രശ്നം, കൂടാതെ മാറ്റങ്ങൾ പഴയപടിയാക്കുന്നത് മുമ്പ് പരിഹരിച്ച സുരക്ഷാ പ്രശ്നങ്ങൾ വീണ്ടും അവതരിപ്പിക്കുന്നതിലേക്ക് നയിച്ചേക്കാം. ചില പരിപാലകർ പഴയപടിയാക്കിയ മാറ്റങ്ങൾ ഇതിനകം വീണ്ടും അവലോകനം ചെയ്തിട്ടുണ്ട്, പ്രശ്‌നങ്ങളൊന്നും കണ്ടെത്തിയില്ല, എന്നാൽ ഒരു പരിപാലകൻ തനിക്ക് സമർപ്പിച്ച പാച്ചുകളിൽ ഒന്നിൽ പിശകുകൾ അടങ്ങിയിട്ടുണ്ടെന്ന് ചൂണ്ടിക്കാട്ടി.

അവലംബം: opennet.ru