В интерфейсе GitHub выявлена интересная особенность, позволяющая представить любое стороннее изменение как изменение, уже включённое в основной проект. Например, сегодня в социальных сетях стала распространяться ссылка на изменение (https://github.com/torvalds/linux/blob/b4061a10fc29010a610ff...) в официальном зеркале основного репозитория ядра Linux, свидетельствующее о подстановке (https://github.com/torvalds/linux/commit/b4061a10fc29010a610...) бэкдора в драйвер hid-samsung.

Разбор ситуации показал (https://github.com/torvalds/linux/commit/b4061a10fc29010a610...), что GitHub в целях оптимизации хранения и минимизации дублирования данных, хранит основной репозиторий и все связанные с ним форки вместе, логически разделяя коммиты. Подобное хранение позволяет просмотреть в любом из связанных репозиторие любой коммит, явно указав  его хэш в URL.

Например, в случае с демонстрацией бэкдора, один из пользователей создал в интерфейсе GitHub форк (https://github.com/andrewrk/linux) основного репозитория ядра Linux, далее добавил в свой форк коммит с кодом, похожим на бэкдор. После чего он сформировал ссылку, в которой SHA1-идентификатор внешего изменения был подставлен в URL основного репозитория. При открытии подобной ссылки посторонний коммит показывается в интерфейсе GitHub в контексте основного репозитория, несмотря на то, что совершён в форке и не имеет к основному репозиторию никакого отношения и в нём подобный коммит отсутствует. Более того, в основном репозитории в списке изменений для отдельных файлов  показываются (https://github.com/torvalds/linux/commits/b4061a10fc29010a61...) и сторонние коммиты, что создаёт большую путаницу.

URL: https://www.reddit.com/r/linux/comments/a88ttj/linux_backdoor/
Новость: https://www.opennet.ru/opennews/art.shtml?num=49833