Linus Torvalds 警告：勿用 Linux 5.12 rc1，担心供应链攻击？
编译：奇安信代码卫士团队
尽管美国俄勒冈州突发暴风雪，导致 Torvalds 在好几天无法用电，但Linux 内核5.12 版本还是如期发布。虽然Torvalds 及其数千名贡献者们设法让 5.12 版本按时发布，但他表示，RC 5.12 版本“坏上加坏“，可为计算机的文件系统带来灾难性后果。
Torvalds 在 Linux 内核邮件列表中表示，“虽然我们在这个合并窗口中做了非常无害的代码清理和简化且并未引发任何危险，但其中包含一个很小又非常糟糕：交换文件停止正常工作，而且它们停止工作的方式也很糟糕：交换文件开头的偏移丢失了。虽然交换仍然会发生但交换发生在文件系统的错误部分，导致会产生很明显的灾难性后果。“
Torvalds 继续写道，“很遗憾发生这种情况，但它又并非非常容易发现的bug，甚至正常的测试都无法发现，原因就是交换文件是不正常的。因此，我并非在责怪相关开发人员，也并非因为合并窗口奇怪的时间点引发，而是说明确实发现了一个非常糟糕的 bug且已在当前 tree 中修复。“
他表示，希望运维人员能够意识到这个问题，因为如果该 bug 现身，则可能导致“收到由随机交换数据覆写的文件系统，这就是 “坏上加坏”。
他指出，这个漏洞极其糟糕，即使对于预期会有 bug 的候选版本而言也是如此，“是的，rc1 可能会比之前rc中的 bug 更多，我们都习惯了这一点，但坦白讲，多数时候这些 bug 都比这次出现的要小的多。”他还提到了针对行业内的一个假设：当系统会随着时间的流逝变得可靠稳定时，会对未来的系统安全造成影响，并且提供了一些建议。
在本案例中，虽然该 bug 和交换分区有关，但 Torvalds 担心开发人员会因为他已通过 Git 版本管理系统在发行版本中修复该漏洞，而认为已安装的代码也已被修复。他担心下游项目可能会不慎将该 bug 遗留到某项目中。
Torvalds 指出，“还有一个原因是，我不仅想警告人们如果有交换文件则不要运行这个版本，即使你个人并未受影响也不要运行；我还想确保没有人会使用 5.12-rc1 标记来开启新的话题分支。”
他表示，“我知道一些开发人员会认为‘好的，rc1 发布了，那我把所有的开发工作都转到这个合并窗口中，现在我将快进到 rc1 并将其作为下次发布的基。’这次千万不要这么做。可能因为你具有常见的分区设置所以它的运行不会有任何问题，但对于其他人而言可能是非常可怕的基。”
否则，Linux 5.12 基本上是 Torvalds 的“春季大扫除”工作，他已经处理了为此内核候选版本做出贡献的1500名人员的10982次非合并提交。
Torvalds 已将 “v5.12-rc1” 标记更名为 “v5.12-rc1-dontuse”，其余内容保持不变。
邮件列表原文可见：
http://lkml.iu.edu/hypermail/linux/kernel/2103.0/06524.html
欢迎在留言区分享你的看法。
Windows 和 Linux 服务器遭新型僵尸网络 WatchDog 攻击近两年
这款Linux 恶意软件正在劫持全球的超级计算机
https://www.zdnet.com/article/linus-torvalds-warns-watch-out-for-this-unusually-nasty-bug-in-linux-5-12-rc1/
题图：Pixabay License
本文由奇安信代码卫士编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的
产品线。