ਮਿਨੀਸੋਟਾ ਯੂਨੀਵਰਸਿਟੀ ਨੂੰ ਸ਼ੱਕੀ ਪੈਚ ਭੇਜਣ ਲਈ ਲੀਨਕਸ ਕਰਨਲ ਵਿਕਾਸ ਤੋਂ ਮੁਅੱਤਲ ਕਰ ਦਿੱਤਾ ਗਿਆ ਹੈ

ਲੀਨਕਸ ਕਰਨਲ ਦੀ ਸਥਿਰ ਸ਼ਾਖਾ ਨੂੰ ਬਣਾਈ ਰੱਖਣ ਲਈ ਜ਼ਿੰਮੇਵਾਰ ਗ੍ਰੇਗ ਕ੍ਰੋਹ-ਹਾਰਟਮੈਨ ਨੇ ਮਿਨੀਸੋਟਾ ਯੂਨੀਵਰਸਿਟੀ ਤੋਂ ਲੀਨਕਸ ਕਰਨਲ ਵਿੱਚ ਆਉਣ ਵਾਲੇ ਕਿਸੇ ਵੀ ਬਦਲਾਅ ਨੂੰ ਸਵੀਕਾਰ ਕਰਨ 'ਤੇ ਪਾਬੰਦੀ ਲਗਾਉਣ ਦਾ ਫੈਸਲਾ ਕੀਤਾ ਹੈ, ਅਤੇ ਸਾਰੇ ਪਹਿਲਾਂ ਸਵੀਕਾਰ ਕੀਤੇ ਪੈਚਾਂ ਨੂੰ ਵਾਪਸ ਕਰਨ ਅਤੇ ਉਹਨਾਂ ਦੀ ਮੁੜ ਸਮੀਖਿਆ ਕਰਨ ਦਾ ਫੈਸਲਾ ਕੀਤਾ ਹੈ। ਬਲਾਕਿੰਗ ਦਾ ਕਾਰਨ ਓਪਨ-ਸੋਰਸ ਪ੍ਰੋਜੈਕਟਾਂ ਦੇ ਕੋਡ ਵਿੱਚ ਲੁਕੀਆਂ ਹੋਈਆਂ ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਉਤਸ਼ਾਹਿਤ ਕਰਨ ਦੀ ਸੰਭਾਵਨਾ ਦਾ ਅਧਿਐਨ ਕਰਨ ਵਾਲੇ ਇੱਕ ਖੋਜ ਸਮੂਹ ਦੀਆਂ ਗਤੀਵਿਧੀਆਂ ਸਨ। ਇਸ ਸਮੂਹ ਨੇ ਵੱਖ-ਵੱਖ ਕਿਸਮਾਂ ਦੇ ਬੱਗਾਂ ਵਾਲੇ ਪੈਚ ਜਮ੍ਹਾਂ ਕੀਤੇ, ਕਮਿਊਨਿਟੀ ਦੀ ਪ੍ਰਤੀਕ੍ਰਿਆ ਨੂੰ ਦੇਖਿਆ, ਅਤੇ ਤਬਦੀਲੀਆਂ ਲਈ ਸਮੀਖਿਆ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਧੋਖਾ ਦੇਣ ਦੇ ਤਰੀਕਿਆਂ ਦਾ ਅਧਿਐਨ ਕੀਤਾ। ਗ੍ਰੇਗ ਦੇ ਅਨੁਸਾਰ, ਖਤਰਨਾਕ ਤਬਦੀਲੀਆਂ ਨੂੰ ਪੇਸ਼ ਕਰਨ ਲਈ ਅਜਿਹੇ ਪ੍ਰਯੋਗ ਕਰਨਾ ਅਸਵੀਕਾਰਨਯੋਗ ਅਤੇ ਅਨੈਤਿਕ ਹੈ।

ਬਲੌਕ ਕਰਨ ਦਾ ਕਾਰਨ ਇਹ ਸੀ ਕਿ ਇਸ ਸਮੂਹ ਦੇ ਮੈਂਬਰਾਂ ਨੇ ਇੱਕ ਪੈਚ ਭੇਜਿਆ ਜਿਸ ਵਿੱਚ "ਮੁਫ਼ਤ" ਫੰਕਸ਼ਨ ਦੀ ਸੰਭਾਵਿਤ ਡਬਲ ਕਾਲ ਨੂੰ ਖਤਮ ਕਰਨ ਲਈ ਇੱਕ ਪੁਆਇੰਟਰ ਚੈੱਕ ਜੋੜਿਆ ਗਿਆ ਸੀ। ਪੁਆਇੰਟਰ ਦੀ ਵਰਤੋਂ ਦੇ ਸੰਦਰਭ ਦੇ ਮੱਦੇਨਜ਼ਰ, ਜਾਂਚ ਬੇਕਾਰ ਸੀ. ਪੈਚ ਜਮ੍ਹਾਂ ਕਰਨ ਦਾ ਉਦੇਸ਼ ਇਹ ਦੇਖਣਾ ਸੀ ਕਿ ਕੀ ਗਲਤ ਤਬਦੀਲੀ ਕਰਨਲ ਡਿਵੈਲਪਰਾਂ ਦੁਆਰਾ ਸਮੀਖਿਆ ਪਾਸ ਕਰੇਗੀ। ਇਸ ਪੈਚ ਤੋਂ ਇਲਾਵਾ, ਮਿਨੀਸੋਟਾ ਯੂਨੀਵਰਸਿਟੀ ਦੇ ਡਿਵੈਲਪਰਾਂ ਦੁਆਰਾ ਕਰਨਲ ਵਿੱਚ ਸ਼ੱਕੀ ਤਬਦੀਲੀਆਂ ਕਰਨ ਦੀਆਂ ਹੋਰ ਕੋਸ਼ਿਸ਼ਾਂ ਸਾਹਮਣੇ ਆਈਆਂ ਹਨ, ਜਿਸ ਵਿੱਚ ਲੁਕੀਆਂ ਹੋਈਆਂ ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਜੋੜਨ ਨਾਲ ਸਬੰਧਤ ਹਨ।

ਪੈਚ ਭੇਜਣ ਵਾਲੇ ਭਾਗੀਦਾਰ ਨੇ ਇਹ ਕਹਿ ਕੇ ਆਪਣੇ ਆਪ ਨੂੰ ਜਾਇਜ਼ ਠਹਿਰਾਉਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕੀਤੀ ਕਿ ਉਹ ਇੱਕ ਨਵੇਂ ਸਟੈਟਿਕ ਐਨਾਲਾਈਜ਼ਰ ਦੀ ਜਾਂਚ ਕਰ ਰਿਹਾ ਸੀ ਅਤੇ ਇਸ ਵਿੱਚ ਪਰੀਖਣ ਦੇ ਨਤੀਜਿਆਂ ਦੇ ਅਧਾਰ 'ਤੇ ਤਬਦੀਲੀ ਤਿਆਰ ਕੀਤੀ ਗਈ ਸੀ। ਪਰ ਗ੍ਰੇਗ ਨੇ ਇਸ ਤੱਥ ਵੱਲ ਧਿਆਨ ਖਿੱਚਿਆ ਕਿ ਪ੍ਰਸਤਾਵਿਤ ਫਿਕਸ ਸਟੈਟਿਕ ਐਨਾਲਾਈਜ਼ਰਾਂ ਦੁਆਰਾ ਖੋਜੀਆਂ ਗਈਆਂ ਗਲਤੀਆਂ ਲਈ ਖਾਸ ਨਹੀਂ ਹਨ, ਅਤੇ ਸਾਰੇ ਭੇਜੇ ਗਏ ਪੈਚ ਬਿਲਕੁਲ ਵੀ ਠੀਕ ਨਹੀਂ ਕਰਦੇ ਹਨ। ਇਹ ਧਿਆਨ ਵਿੱਚ ਰੱਖਦੇ ਹੋਏ ਕਿ ਪ੍ਰਸ਼ਨ ਵਿੱਚ ਖੋਜ ਸਮੂਹ ਨੇ ਅਤੀਤ ਵਿੱਚ ਲੁਕੀਆਂ ਹੋਈਆਂ ਕਮਜ਼ੋਰੀਆਂ ਲਈ ਪੈਚਾਂ ਨੂੰ ਅੱਗੇ ਵਧਾਉਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕੀਤੀ ਹੈ, ਇਹ ਸਪੱਸ਼ਟ ਹੈ ਕਿ ਉਹਨਾਂ ਨੇ ਕਰਨਲ ਵਿਕਾਸ ਕਮਿਊਨਿਟੀ ਦੇ ਨਾਲ ਆਪਣੇ ਪ੍ਰਯੋਗਾਂ ਨੂੰ ਜਾਰੀ ਰੱਖਿਆ ਹੈ।

ਦਿਲਚਸਪ ਗੱਲ ਇਹ ਹੈ ਕਿ, ਅਤੀਤ ਵਿੱਚ, ਪ੍ਰਯੋਗਾਂ ਦਾ ਸੰਚਾਲਨ ਕਰਨ ਵਾਲੇ ਸਮੂਹ ਦਾ ਨੇਤਾ ਕਮਜ਼ੋਰੀਆਂ ਦੇ ਜਾਇਜ਼ ਪੈਚਿੰਗ ਵਿੱਚ ਸ਼ਾਮਲ ਸੀ, ਉਦਾਹਰਨ ਲਈ, USB ਸਟੈਕ (CVE-2016-4482) ਅਤੇ ਨੈੱਟਵਰਕ ਸਬ-ਸਿਸਟਮ (CVE-2016-4485) ਵਿੱਚ ਜਾਣਕਾਰੀ ਲੀਕ ਦੀ ਪਛਾਣ ਕਰਨਾ। . ਸਟੀਲਥ ਕਮਜ਼ੋਰੀ ਦੇ ਪ੍ਰਸਾਰ 'ਤੇ ਇੱਕ ਅਧਿਐਨ ਵਿੱਚ, ਮਿਨੀਸੋਟਾ ਯੂਨੀਵਰਸਿਟੀ ਦੀ ਇੱਕ ਟੀਮ ਨੇ CVE-2019-12819 ਦੀ ਉਦਾਹਰਨ ਦਿੱਤੀ, 2014 ਵਿੱਚ ਜਾਰੀ ਕੀਤੇ ਗਏ ਇੱਕ ਕਰਨਲ ਪੈਚ ਕਾਰਨ ਇੱਕ ਕਮਜ਼ੋਰੀ। ਫਿਕਸ ਨੇ mdio_bus ਵਿੱਚ ਐਰਰ ਹੈਂਡਲਿੰਗ ਬਲਾਕ ਲਈ put_device ਨੂੰ ਇੱਕ ਕਾਲ ਜੋੜਿਆ, ਪਰ ਪੰਜ ਸਾਲ ਬਾਅਦ ਇਹ ਸਾਹਮਣੇ ਆਇਆ ਕਿ ਇਸ ਤਰ੍ਹਾਂ ਦੀ ਹੇਰਾਫੇਰੀ ਨਾਲ ਮੈਮੋਰੀ ਬਲਾਕ ਨੂੰ ਮੁਕਤ ਕਰਨ ਤੋਂ ਬਾਅਦ ਇਸ ਤੱਕ ਪਹੁੰਚ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ("ਵਰਤੋਂ-ਬਾਅਦ-ਮੁਕਤ")।

ਉਸੇ ਸਮੇਂ, ਅਧਿਐਨ ਦੇ ਲੇਖਕ ਦਾਅਵਾ ਕਰਦੇ ਹਨ ਕਿ ਉਹਨਾਂ ਦੇ ਕੰਮ ਵਿੱਚ ਉਹਨਾਂ ਨੇ 138 ਪੈਚਾਂ 'ਤੇ ਡੇਟਾ ਦਾ ਸਾਰ ਦਿੱਤਾ ਜੋ ਗਲਤੀਆਂ ਪੇਸ਼ ਕਰਦੇ ਹਨ ਅਤੇ ਅਧਿਐਨ ਭਾਗੀਦਾਰਾਂ ਨਾਲ ਸਬੰਧਤ ਨਹੀਂ ਸਨ। ਗਲਤੀਆਂ ਦੇ ਨਾਲ ਉਹਨਾਂ ਦੇ ਆਪਣੇ ਪੈਚ ਭੇਜਣ ਦੀਆਂ ਕੋਸ਼ਿਸ਼ਾਂ ਈਮੇਲ ਪੱਤਰ-ਵਿਹਾਰ ਤੱਕ ਹੀ ਸੀਮਿਤ ਸਨ, ਅਤੇ ਅਜਿਹੀਆਂ ਤਬਦੀਲੀਆਂ ਗਿੱਟ ਵਿੱਚ ਨਹੀਂ ਆਈਆਂ (ਜੇਕਰ, ਈਮੇਲ ਦੁਆਰਾ ਪੈਚ ਭੇਜਣ ਤੋਂ ਬਾਅਦ, ਮੇਨਟੇਨਰ ਨੇ ਪੈਚ ਨੂੰ ਆਮ ਸਮਝਿਆ, ਤਾਂ ਉਸਨੂੰ ਉਦੋਂ ਤੋਂ ਤਬਦੀਲੀ ਸ਼ਾਮਲ ਨਾ ਕਰਨ ਲਈ ਕਿਹਾ ਗਿਆ ਸੀ। ਇੱਕ ਗਲਤੀ ਸੀ, ਜਿਸ ਤੋਂ ਬਾਅਦ ਉਹਨਾਂ ਨੇ ਸਹੀ ਪੈਚ ਭੇਜਿਆ)।

ਜੋੜ 1: ਆਲੋਚਨਾ ਕੀਤੇ ਪੈਚ ਦੇ ਲੇਖਕ ਦੀ ਗਤੀਵਿਧੀ ਦੁਆਰਾ ਨਿਰਣਾ ਕਰਦੇ ਹੋਏ, ਉਹ ਲੰਬੇ ਸਮੇਂ ਤੋਂ ਵੱਖ-ਵੱਖ ਕਰਨਲ ਉਪ-ਸਿਸਟਮਾਂ ਨੂੰ ਪੈਚ ਭੇਜ ਰਿਹਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, radeon ਅਤੇ nouveau ਡਰਾਈਵਰਾਂ ਨੇ ਹਾਲ ਹੀ ਵਿੱਚ ਇੱਕ ਗਲਤੀ ਬਲਾਕ ਵਿੱਚ pm_runtime_put_autosuspend(dev->dev) ਨੂੰ ਇੱਕ ਕਾਲ ਦੇ ਨਾਲ ਤਬਦੀਲੀਆਂ ਨੂੰ ਅਪਣਾਇਆ ਹੈ, ਸੰਭਵ ਤੌਰ 'ਤੇ ਇਸ ਨਾਲ ਸੰਬੰਧਿਤ ਮੈਮੋਰੀ ਨੂੰ ਖਾਲੀ ਕਰਨ ਤੋਂ ਬਾਅਦ ਬਫਰ ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ।

ਐਡੈਂਡਮ 2: ਗ੍ਰੇਗ ਨੇ "@umn.edu" ਨਾਲ ਜੁੜੇ 190 ਕਮਿਟਾਂ ਨੂੰ ਵਾਪਸ ਲਿਆ ਹੈ ਅਤੇ ਉਹਨਾਂ ਦੀ ਮੁੜ-ਸਮੀਖਿਆ ਸ਼ੁਰੂ ਕੀਤੀ ਹੈ। ਸਮੱਸਿਆ ਇਹ ਹੈ ਕਿ "@umn.edu" ਪਤਿਆਂ ਵਾਲੇ ਮੈਂਬਰਾਂ ਨੇ ਨਾ ਸਿਰਫ਼ ਸ਼ੱਕੀ ਪੈਚਾਂ ਨੂੰ ਦਬਾਉਣ ਦਾ ਪ੍ਰਯੋਗ ਕੀਤਾ ਹੈ, ਸਗੋਂ ਅਸਲ ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਵੀ ਪੈਚ ਕੀਤਾ ਹੈ, ਅਤੇ ਤਬਦੀਲੀਆਂ ਨੂੰ ਵਾਪਸ ਲਿਆਉਣ ਦੇ ਨਤੀਜੇ ਵਜੋਂ ਪਹਿਲਾਂ ਪੈਚ ਕੀਤੀਆਂ ਸੁਰੱਖਿਆ ਸਮੱਸਿਆਵਾਂ ਵਾਪਸ ਆ ਸਕਦੀਆਂ ਹਨ। ਕੁਝ ਪ੍ਰਬੰਧਕਾਂ ਨੇ ਪਹਿਲਾਂ ਹੀ ਵਾਪਸ ਕੀਤੀਆਂ ਤਬਦੀਲੀਆਂ ਦੀ ਮੁੜ ਜਾਂਚ ਕਰ ਲਈ ਹੈ ਅਤੇ ਕੋਈ ਸਮੱਸਿਆ ਨਹੀਂ ਮਿਲੀ ਹੈ, ਪਰ ਇੱਕ ਪ੍ਰਬੰਧਕ ਨੇ ਸੰਕੇਤ ਦਿੱਤਾ ਹੈ ਕਿ ਉਸ ਨੂੰ ਭੇਜੇ ਗਏ ਪੈਚਾਂ ਵਿੱਚੋਂ ਇੱਕ ਵਿੱਚ ਗਲਤੀਆਂ ਸਨ।

ਸਰੋਤ: opennet.ru