De technische adviesraad van de Linux Foundation heeft een samenvattend rapport gepubliceerd over het voorval met onderzoekers van de Universiteit van Minnesota, dat verband houdt met de poging om patches met verborgen fouten die leiden tot kwetsbaarheden in de kernel te promoten. De kernel-ontwikkelaars hebben de eerder gepubliceerde informatie bevestigd dat van de vijf patches die tijdens het onderzoek 'Hypocrite Commits' zijn voorbereid, vier patches met kwetsbaarheden onmiddellijk zijn afgewezen, zowel op initiatief van de maintainers als omdat ze niet in de kernelrepository zijn opgenomen. EĆ©n patch werd geaccepteerd, maar deze herstelde correct een probleem en bevatte geen fouten.
Er zijn ook 435 commits geanalyseerd, inclusief correcties die zijn ingediend door ontwikkelaars van de Universiteit van Minnesota, en die niet verband hielden met de experimenten om verborgen kwetsbaarheden te promoten. Sinds 2018 heeft de groep onderzoekers van de Universiteit van Minnesota actief deelgenomen aan het oplossen van fouten. Herziening heeft geen kwaadaardige activiteiten in deze commits aan het licht gebracht, maar onthulde wel enkele onbedoelde fouten en tekortkomingen.
349 commits zijn als correct erkend en zijn zonder wijzigingen gelaten. In 39 commits zijn problemen ontdekt die herstel vereisen ā deze commits zijn ingetrokken en worden vĆ³Ć³r de release van kernel 5.13 vervangen door meer correcte correcties. Fouten in 25 commits zijn opgelost in latere wijzigingen. 12 commits zijn niet meer relevant, aangezien ze betrekking hebben op verouderde systemen die al uit de kernel zijn verwijderd. EĆ©n van de correcte commits is op verzoek van de auteur ingetrokken. 9 correcte commits zijn lange tijd geleden verzonden vanaf @umn.edu-adressen, voordat de besproken onderzoeksgroep werd gevormd.
Om het vertrouwen in het team van de Universiteit van Minnesota te herstellen en de mogelijkheid om deel te nemen aan de ontwikkeling van de kernel terug te geven, heeft de Linux Foundation een aantal eisen gesteld, waarvan het merendeel al is vervuld. Zo hebben de onderzoekers de publicatie 'Hypocrite Commits' inmiddels ingetrokken en hun presentatie op de IEEE Symposium afgezegd, en hebben ze ook publiekelijk de hele chronologie van de gebeurtenissen openbaar gemaakt en gedetailleerde informatie verstrekt over de wijzigingen die tijdens het onderzoek zijn ingediend.
Bron: opennet.ru
