/note/tech

Linuxテクニカルアドバイザリーボード、ミネソタ大の意図的な脆弱性混入問題に関するレポート公表

報告によれば、再レビューされたミネソタ大学関係者からのコミットは435件で、「その大部分が正しいものであることが判明した」という。残りのコミットのうち、39件には修正の必要があり、25件はすでに別のコミットで修正済み、12件は対象となるドライバーやサブシステムが問題が発生する前に使われなくなっており対象外、9件は問題の研究グループが作られる前のもので、1件は作者の要請により削除されていた。

意図的な問題のある変更5件がLinuxカーネルメーリングリストに提出されていた。これらの変更は正体を偽って提出されており、これはLinuxカーネルにコードをコントリビューションする上でのルールに反しているという。問題の研究者らが研究プロジェクトの成果として発表した論文「On the Feasibility of Stealthily Introducing Vulnerabilities in Open-Source Software via Hypocrite Commits」の主張とは異なり、TABは今回の報告で、「提出されたすべての不正なパッチは発見されるか無視されていた。悪意のあるパッチを前にした際に、私たちのパッチレビューのプロセスは意図した通りに機能した」と述べている。

またTAB側でも、「研究者らと協力して、すべての研究を目的とするグループがLinuxカーネル(あるいはオープンソースプロジェクト全般)と関わる際に従うべきベストプラクティスを明示する文書を作成する」としている。さらに、ミネソタ大学とカーネルコミュニティとの間で失われた信頼関係を再び築く上で、TABは同大学に対し、提案されたカーネルの変更を、公に提出される前にレビューし、フィードバックを提示する、経験のある内部の開発者を指名するなどのレビュープロセスを整えるよう求めている。