華為 L20 安全專家為 Linux 內(nèi)核提交補(bǔ)丁被發(fā)現(xiàn)漏洞，華為回應(yīng)稱與公司無關(guān)

本文作者：劉琳

2020-05-14 18:36

導(dǎo)語(yǔ)：?jiǎn)T工提交代碼是個(gè)人項(xiàng)目的一部分，不代表公司。

安全大佬寫代碼也有翻車的時(shí)候。

近日，據(jù)外媒 ZDNet 報(bào)道，一位華為 L20 首席安全專家在 GitHub上發(fā)布了一個(gè) Linux 內(nèi)核強(qiáng)化補(bǔ)丁 HKSP ，不過，有意思的是，這個(gè)補(bǔ)丁很快被開發(fā)團(tuán)隊(duì) grsecurity 發(fā)現(xiàn)了一個(gè)“輕而易舉就能利用的”漏洞，立刻引起了熱議。

華為 L20 安全專家為 Linux 內(nèi)核提交補(bǔ)丁被發(fā)現(xiàn)漏洞，華為回應(yīng)稱與公司無關(guān)

隨后，原作者也表示委屈，并站出來澄清原委：

這是我寫的 demo code，是為了快速驗(yàn)證這些漏洞緩解措施是否有效的 poc 代碼，沒有加入安全參數(shù)檢查，被 grsecurity 的人借機(jī)炒作了起來，因?yàn)樗麄儾幌胗腥瞬迦肼┒淳徑忸I(lǐng)域的研究。

華為 L20 安全專家為 Linux 內(nèi)核提交補(bǔ)丁被發(fā)現(xiàn)漏洞，華為回應(yīng)稱與公司無關(guān)

華為也表示：這是員工個(gè)人行為，不代表公司。

事情緣由是這樣的：

5 月 10 日，這位華為員工通過郵件列表提交給了官方的 Linux 內(nèi)核項(xiàng)目。據(jù)稱該補(bǔ)丁命名為 HKSP（華為內(nèi)核自我保護(hù)），還為 Linux 內(nèi)核引入了一系列加強(qiáng)安全的選項(xiàng)，并表示進(jìn)行此更改是為了限制惡意代碼創(chuàng)建分布式拒絕服務(wù)攻擊的能力，并限制發(fā)送欺騙數(shù)據(jù)包(具有偽造源 IP 地址的 TCP/IP 數(shù)據(jù)包)的能力。

華為 L20 安全專家為 Linux 內(nèi)核提交補(bǔ)丁被發(fā)現(xiàn)漏洞，華為回應(yīng)稱與公司無關(guān)

眾所周知，大型科技公司通常會(huì)向 Linux 內(nèi)核提交補(bǔ)丁。例如谷歌、微軟、亞馬遜和其他公司都貢獻(xiàn)了代碼，所以，HKSP 提交的文件快速引發(fā)了 Linux 社區(qū)的興趣，因?yàn)檫@可能表明華為希望盡可能為官方內(nèi)核做出貢獻(xiàn)，于是該補(bǔ)丁也受到了嚴(yán)格的審查。

Linux 是一種開源電腦操作系統(tǒng)內(nèi)核。它是一個(gè)用 C 語(yǔ)言寫成，符合 POSIX 標(biāo)準(zhǔn)的類 Unix 操作系統(tǒng)。

最早是由芬蘭 Linus Torvalds 為嘗試在英特爾 x86 架構(gòu)上提供自由的類 Unix 操作系統(tǒng)而開發(fā)的。該計(jì)劃開始于 1991 年，在計(jì)劃的早期有一些 Minix 黑客提供了協(xié)助，而今天全球無數(shù)程序員正在為該計(jì)劃無償提供幫助。

緊接著，開發(fā)團(tuán)隊(duì) Grsecurity 卻表示，他們發(fā)現(xiàn) HKSP 補(bǔ)丁引入了一個(gè)微不足道的可利用的“內(nèi)核代碼中的漏洞。

開發(fā)團(tuán)隊(duì) Grsecurity 在帖子中指出，該補(bǔ)丁本身存在漏洞和弱點(diǎn)，并且缺少通常的威脅模型。雖然，補(bǔ)丁的發(fā)布者在 GitHub 上的作者標(biāo)記為來自華為，但 Grsecurity 開發(fā)團(tuán)隊(duì)在帖子中表示，目前尚不清楚發(fā)布的補(bǔ)丁集是否是華為的正式版本，或者該代碼是否已經(jīng)在任何華為設(shè)備上發(fā)布。

華為 L20 安全專家為 Linux 內(nèi)核提交補(bǔ)丁被發(fā)現(xiàn)漏洞，華為回應(yīng)稱與公司無關(guān)

此言論一出，立刻引起了廣泛討論，不少人指責(zé)華為試圖在 Linux 內(nèi)核中偷偷引入漏洞。

隨后，華為也出面做了表態(tài)：華為沒有正式參與 HKSP 項(xiàng)目，盡管該項(xiàng)目在其名稱中使用了華為的名字，而且該項(xiàng)目是由該公司的一名高級(jí)安全工程師開發(fā)的。

并表示，該項(xiàng)目是由工程師創(chuàng)建并提交給 Linux 內(nèi)核項(xiàng)目的，沒有得到正式支持，而且 HKSP 代碼從未在華為的任何官方產(chǎn)品中實(shí)際使用過。

“這只是個(gè)人與開源社區(qū) Openwall 進(jìn)行技術(shù)討論時(shí)使用的演示代碼。”

5 月 11 日，該補(bǔ)丁的作者也做了更新說明：本項(xiàng)目是我在業(yè)余時(shí)間做的研究，HKSP 的名字是我自己給的，與華為公司無關(guān)，沒有華為產(chǎn)品使用這些代碼。這個(gè)補(bǔ)丁代碼是我提出來的，因?yàn)橐粋€(gè)人沒有足夠的精力去覆蓋每一件事情，所以缺乏像審查和測(cè)試這樣的質(zhì)量保證。并且這個(gè)補(bǔ)丁只是一個(gè)演示代碼。

華為 L20 安全專家為 Linux 內(nèi)核提交補(bǔ)丁被發(fā)現(xiàn)漏洞，華為回應(yīng)稱與公司無關(guān)