Greg Kroah-Hartman, përgjegjës për mirëmbajtjen e degës së qëndrueshme të kernelit Linux, vendosi të ndalojë pranimin e çdo ndryshimi që vjen nga Universiteti i Minesotës në kernelin Linux, dhe gjithashtu të rikthejë të gjitha arnimet e pranuara më parë dhe t'i rishikojë ato. Arsyeja e bllokimit ishin aktivitetet e një grupi kërkimor që studionte mundësinë e promovimit të dobësive të fshehura në kodin e projekteve me burim të hapur. Ky grup paraqiti arna që përmbajnë lloje të ndryshme të gabimeve, vëzhgoi reagimin e komunitetit dhe studioi mënyrat për të mashtruar procesin e rishikimit për ndryshime. Sipas Greg, kryerja e eksperimenteve të tilla për të futur ndryshime me qëllim të keq është e papranueshme dhe joetike.
Arsyeja e bllokimit ishte se anëtarët e këtij grupi dërguan një patch që shtonte një kontroll tregues për të eliminuar thirrjen e mundshme të dyfishtë të funksionit "falas". Duke pasur parasysh kontekstin e përdorimit të treguesit, kontrolli ishte i pakuptimtë. Qëllimi i paraqitjes së patch-it ishte për të parë nëse ndryshimi i gabuar do të kalonte shqyrtimin nga zhvilluesit e kernelit. Përveç kësaj patch, janë shfaqur përpjekje të tjera nga zhvilluesit nga Universiteti i Minesotës për të bërë ndryshime të dyshimta në kernel, duke përfshirë ato që lidhen me shtimin e dobësive të fshehura.
Pjesëmarrësi që dërgoi arnimet u përpoq të justifikohej duke thënë se po testonte një analizues të ri statik dhe ndryshimi ishte përgatitur në bazë të rezultateve të testimit në të. Por Greg tërhoqi vëmendjen për faktin se rregullimet e propozuara nuk janë tipike për gabimet e zbuluara nga analizuesit statikë, dhe të gjitha arna të dërguara nuk rregullojnë asgjë fare. Duke qenë se grupi kërkimor në fjalë është përpjekur të shtyjë arna për dobësitë e fshehura në të kaluarën, është e qartë se ata kanë vazhduar eksperimentet e tyre me komunitetin e zhvillimit të kernelit.
Është interesante se në të kaluarën, drejtuesi i grupit që kryente eksperimentet ishte i përfshirë në korrigjimin e ligjshëm të dobësive, për shembull, identifikimin e rrjedhjeve të informacionit në pirgun USB (CVE-2016-4482) dhe nënsistemin e rrjetit (CVE-2016-4485) . Në një studim mbi përhapjen e cenueshmërisë së fshehtë, një ekip nga Universiteti i Minesotës citon shembullin e CVE-2019-12819, një cenueshmëri e shkaktuar nga një patch kernel i lëshuar në 2014. Rregullimi shtoi një thirrje për put_device në bllokun e trajtimit të gabimeve në mdio_bus, por pesë vjet më vonë doli se një manipulim i tillë çon në aksesin në bllokun e memories pasi ai të çlirohet ("përdorimi-pas-free").
Në të njëjtën kohë, autorët e studimit pohojnë se në punën e tyre kanë përmbledhur të dhëna për 138 arna që kanë futur gabime dhe nuk kanë lidhje me pjesëmarrësit në studim. Përpjekjet për të dërguar arnimet e tyre me gabime ishin të kufizuara në korrespondencën me email dhe ndryshime të tilla nuk hynë në Git (nëse, pas dërgimit të patch-it me email, mirëmbajtësi e konsideroi patch-in normal, atëherë atij iu kërkua të mos e përfshinte ndryshimin pasi atje ishte një gabim, pas së cilës ata dërguan patch-in e duhur).
Shtesa 1: Duke gjykuar nga aktiviteti i autorit të patch-it të kritikuar, ai ka kohë që dërgon arnime në nënsisteme të ndryshme kernel. Për shembull, drejtuesit e radeonit dhe nouveau miratuan ndryshimet e fundit me një thirrje në pm_runtime_put_autosuspend(dev->dev) në një bllok gabimi, ndoshta duke bërë që buffer të përdoret pas çlirimit të memories së lidhur me të.
Shtojca 2: Greg ka rikthyer 190 kryerje të lidhura me "@umn.edu" dhe ka iniciuar një rishikim të tyre. Problemi është se anëtarët me adresa "@umn.edu" jo vetëm që kanë eksperimentuar me shtyrjen e arnimeve të dyshimta, por gjithashtu kanë rregulluar dobësitë reale dhe rikthimi i ndryshimeve mund të rezultojë në rikthimin e çështjeve të sigurisë të rregulluara më parë. Disa mirëmbajtës i kanë rishikuar tashmë ndryshimet e rikthyera dhe nuk gjetën probleme, por një nga mirëmbajtësit tregoi se një nga arnimet e dërguara tek ai kishte gabime.
Burimi: opennet.ru