{"id":99982,"date":"2021-04-21T22:23:44","date_gmt":"2021-04-21T20:23:44","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/universitet-minnesoty-otstranyon-ot-razrabotki-yadra-linux-za-otpravku-somnitelnyh-patchej"},"modified":"2021-04-21T22:23:44","modified_gmt":"2021-04-21T20:23:44","slug":"universitet-minnesoty-otstranyon-ot-razrabotki-yadra-linux-za-otpravku-somnitelnyh-patchej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/universitet-minnesoty-otstranyon-ot-razrabotki-yadra-linux-za-otpravku-somnitelnyh-patchej","title":{"rendered":"De Universiteit van Minnesota is uitgesloten van de ontwikkeling van de Linux-kernel vanwege het indienen van twijfelachtige patches","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Greg Kroah-Hartman, verantwoordelijk voor het onderhoud van de stabiele tak van de Linux-kernel, heeft besloten om alle wijzigingen van de Universiteit van Minnesota in de Linux-kernel te verbieden en alle eerder geaccepteerde patches terug te draaien voor herziening. De reden voor de blokkering was de activiteiten van een onderzoeksgroep die de mogelijkheid bestudeerde om verborgen kwetsbaarheden in de code van open-source projecten te implementeren. Deze groep stuurde patches met verschillende soorten fouten, observeerde de reacties van de gemeenschap en bestudeerde manieren om het reviewproces van wijzigingen te misleiden. Volgens Greg is het uitvoeren van dergelijke experimenten om schadelijke wijzigingen door te voeren onaanvaardbaar en onethisch. <\/p>\n
De reden voor de blokkering was de verzending door deelnemers van deze groep van een patch die een controle van de pointer toevoegde om mogelijke dubbele aanroepen van de functie 'free' uit te sluiten. Gezien de context van het gebruik van de pointer was de controle zinloos. Het doel van het indienen van de patch was om te onderzoeken of de foute wijziging de goedkeuring door de ontwikkelaars van de kern zou doorstaan. Naast de genoemde patch waren er ook andere pogingen van ontwikkelaars van de Universiteit van Minnesota om twijfelachtige wijzigingen in de kernel aan te brengen, onder andere met betrekking tot het toevoegen van verborgen kwetsbaarheden. <\/p>\n
De verzender van de patches probeerde zich te rechtvaardigen door te zeggen dat hij een nieuwe statische analyzer testte en dat de wijziging was voorbereid op basis van de resultaten van de controle daarin. Maar Greg merkte op dat de voorgestelde correcties niet typerend waren voor de fouten die door statische analyzers worden vastgesteld, en dat alle verzonden patches helemaal niets corrigeerden. Gezien het feit dat de betreffende groep onderzoekers in het verleden al heeft geprobeerd om correcties met verborgen kwetsbaarheden door te voeren, is het duidelijk dat ze hun experimenten op de gemeenschap van kernelontwikkelaars zijn voortgezet. <\/p>\n
Het is interessant dat de leider van de groep die experimenten uitvoerde in het verleden betrokken was bij legitieme correcties van kwetsbaarheden, zo ontdekte hij bijvoorbeeld datalekken in de USB-stack (CVE-2016-4482) en de netwerksubsystemen (CVE-2016-4485). In hun onderzoek naar verborgen promotie van kwetsbaarheden geeft de groep van de Universiteit van Minnesota het voorbeeld van de kwetsbaarheid CVE-2019-12819, die werd veroorzaakt door een correctie die in 2014 in de kernel werd aangenomen. De correctie voegde een oproep aan put_device toe in de foutafhandelingsroutine in mdio_bus, maar vijf jaar later bleek dat een dergelijke manipulatie leidt tot toegang tot een geheugenblok na de vrijgave ('use-after-free'). <\/p>\n
De auteurs van het onderzoek beweren dat ze in hun werk gegevens hebben samengevoegd over 138 patches die fouten bevatten en niet gerelateerd waren aan de deelnemers van het onderzoek. Pogingen om eigen patches met fouten te verzenden waren beperkt tot e-mailcorrespondentie, en dergelijke wijzigingen kwamen niet in Git (als de onderhouders een patch per e-mail normaal vonden, werd hen gevraagd om de wijziging niet op te nemen omdat er een fout in zat, waarna een correcte patch werd verzonden). <\/p>\n
Aanvulling 1: Gezien de activiteit van de auteur van de betwiste correctie, stuurt hij al geruime tijd patches naar verschillende subsysteem van de kernel. Recentelijk zijn bijvoorbeeld wijzigingen met een aanroep van pm_runtime_put_autosuspend(dev->dev) in het foutverwerkingsblok aangenomen in de Radeon- en Nouveau-stuurprogramma's, wat zou kunnen leiden tot gebruik van een buffer na de vrijgave van het bijbehorende geheugen. <\/p>\n
Aanvulling 2: Greg heeft 190 commits teruggedraaid die verbandhoudend met adressen '@umn.edu' en heeft hun herkeuring ge\u00efnitieerd. Het probleem is dat deelnemers met adressen '@umn.edu' niet alleen experimenteerden met het promoten van twijfelachtige patches, maar ook echte kwetsbaarheden oplosten, en het terugdraaien van wijzigingen kan leiden tot de terugkeer van eerder verholpen veiligheidsproblemen. Sommige maintainers hebben de teruggedraaide wijzigingen al opnieuw gecontroleerd en geen problemen gevonden, maar een van de maintainers merkte op dat er fouten in een van de patches zaten die hem waren gestuurd. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"