O conselho técnico da Linux Foundation divulgou um relatório abrangente sobre o incidente com pesquisadores da Universidade de Minnesota, relacionado à tentativa de promover patches no kernel que continham erros ocultos levando a vulnerabilidades. Os desenvolvedores do kernel confirmaram informações previamente divulgadas, de que dos 5 patches preparados durante a pesquisa 'Hypocrite Commits', 4 patches com vulnerabilidades foram rejeitados imediatamente por iniciativa dos mantenedores e não entraram no repositório do kernel. Um patch foi aceito, mas corrigiu corretamente o problema e não continha erros.
Foram analisados 435 commits, incluindo correções enviadas por desenvolvedores da Universidade de Minnesota e não relacionadas à condução do experimento de promoção de vulnerabilidades ocultas. Desde 2018, o grupo de pesquisadores da Universidade de Minnesota tem participado ativamente na correção de erros. A reanálise não revelou atividade maliciosa nesses commits, mas expôs erros e omissões não intencionais.
349 commits foram considerados corretos e deixados sem alterações. Em 39 commits, problemas que exigem correção foram encontrados — esses commits foram revertidos e até o lançamento do kernel 5.13 serão substituídos por correções mais adequadas. Erros em 25 commits foram corrigidos em mudanças subsequentes. 12 commits perderam relevância, pois envolviam sistemas obsoletos, já removidos do kernel. Um dos commits corretos foi revertido a pedido do autor. 9 commits corretos foram enviados de endereços @umn.edu muito antes da formação do grupo de pesquisadores discutido.
Para restaurar a confiança na equipe da Universidade de Minnesota e devolver a possibilidade de participação no desenvolvimento do kernel, a organização Linux Foundation apresentou uma série de requisitos, a maior parte dos quais já foi cumprida. Por exemplo, os pesquisadores já retiraram a publicação 'Hypocrite Commits' e cancelaram sua apresentação na conferência IEEE Symposium, além de divulgar publicamente toda a cronologia dos eventos e fornecer informações detalhadas sobre as alterações enviadas durante a pesquisa.
Fonte: opennet.ru
