Boli zverejnené výsledky výskumu času na odhalenie a odstránenie chýb v jadre Linuxu. Údaje boli získané v dôsledku analýzy opravy 125 tisíc chýb označených v Git repozitári tagom „Fixes:“, odkazujúcim na commit, v ktorom chyba vznikla. Priemerný čas na odhalenie chýb v jadre bol 2,1 roka. Ak sa zohľadnia len chyby opravené v roku 2025, tento údaj bol 2,8 roka.
30 % chýb opravili tí istí vývojári, ktorí chyby spôsobili. 56,9 % chýb je odstránených do jedného roka. 13,5 % chýb zostalo nepozorovaných viac ako 5 rokov (po zohľadnení len chýb opravených v roku 2025 — 19,4 %). V dôsledku nerovnomerného rozdelenia mediánový čas existencie chyby v kóde jadra dosiahol 8 mesiacov pre vzorku z roku 2005 a 1 rok pre chyby opravené v roku 2025. Najdlhšie pretrvávajúcou chybou v kóde bolo pretečenie buffera v ethtool, odstránené po 20,7 rokoch.
Dynamika odhaľovania chýb sa výrazne líši od priemernej hodnoty pre niektoré podsystémy, napríklad v ovládači zbernice CAN a stacku SCTP, identifikácia problémov priemerne trvá okolo 4 rokov, v IPv4 stacku — 3,6 rokov, USB a TTY — 3,5 rokov, Netfilter a sieťový stack — 2,9 rokov, VM — 1,8 rokov, GPU — 1,4 rokov, BPF — 1,1 rokov.
Čas odhalenia koreluje s typmi chýb: priemerný čas na odhalenie chýb súvisiacich so závodnými stavmi dosiahol 5,1 rokov, s celým číselným pretečením — 3,9 rokov, prístupom po uvoľnení pamäte — 3,2 rokov, pretečením buffera a únikom pamäte — 3,1 rokov, počítaním odkazov — 2,8 rokov, dereferencovaním nulového ukazovateľa a vzájomnými blokáciami — 2,2 rokov.
V získanej štatistike je tiež viditeľný vplyv zavedenia nových nástrojov na automatizované vyhľadávanie chýb, statickú analýzu a testovanie kódu, ako sú Syzkaller, KASAN, KMSAN a KCSAN. Napríklad v roku 2010 neboli zaznamenané žiadne opravy chýb nájdených počas roka. Zatiaľ čo v roku 2014 bolo počas roka odhalených 31 % chýb, v roku 2018 — 54 %, a v roku 2022 — 69 % chýb.
Získaná štatistika bola použitá na vytvorenie modelu strojového učenia VulnBERT, ktorý predpovedá prítomnosť zraniteľností v commitoch. Pri testovaní na commitoch za rok 2024 dosiahla presnosť detekcie chýb 92,2 % pri úrovni falošných poplachov 1,2 % (na porovnanie, predtým dostupný model CodeBERT odhalil 89,2 % problémov pri úrovni falošných poplachov 48,1 %).
Zdroj: opennet.ru
