Eine E-Mail-Adresse brachte Codeausführung auf GNU Savannah, Heimat von Bash
Victoria Shinder2 Min. LesezeitHacktron, ein Sicherheitsunternehmen, das mit einem KI-Pentest-Agenten arbeitet, beschrieb am 30. Oktober, wie es GNU Savannah kompromittierte, die Plattform, auf der Bash, Coreutils und Hunderte weiterer GNU-Projekte liegen. Einstiegspunkt war eine E-Mail-Adresse. Savane, die PHP-Anwendung hinter Savannah, akzeptierte eine Adresse, deren lokaler Teil Backticks und ${IFS} enthielt, und die Funktion „Test GPG keys“ hängte die E-Mail des Kontos an eine gpg-Befehlszeile, die PHPs proc_open() an /bin/sh übergab. Die Shell führte den Payload aus, bevor gpg startete, als Benutzer des Webservers.
Danach war die Kette kurz. Der Webserver-Benutzer konnte die Konfiguration von Savane lesen, samt Datenbank-Zugangsdaten, also setzten die Forscher bei ihrem eigenen Konto das Superuser-Flag. Superuser können als beliebiger Nutzer handeln, und Hacktron gibt an, als Konto von Chet Ramey, dem Bash-Maintainer, aufgetreten zu sein und bestätigt zu haben, dass sich ein SSH-Schlüssel mit Push-Rechten auf das Upstream-Repository von Bash hinzufügen ließ. Man habe keinen Schlüssel hinzugefügt und das Repository nicht angerührt. Der Kernel des Backends war noch für die OverlayFS-Fehler von 2023 namens GameOver(lay) anfällig, CVE-2023-2640 und CVE-2023-32629, was Root-Rechte brachte; ein als Root gefundener Schlüssel öffnete einen GNU-Backup-Server.
Hacktron meldete das Problem am 11. Mai 2026 der FSF. Laut Bericht führte die FSF den verwundbaren Pfad auf das Savane-Release vom 7. März 2026 zurück, betroffen waren savannah.gnu.org und savannah.nongnu.org für etwa zwei Monate. Eine weitere Prüfung ergab 26 bestätigte Befunde, zwei davon kritisch, die die FSF behob und in einem eigenen Vorfallsbericht beschrieb.
Was das bedeutet
Die xz-Hintertür hat gezeigt, was ein kompromittiertes Glied anrichten kann; dieser Fall zeigt, wie wenig nötig sein kann, um ein solches Glied zu erreichen. Nichts daran war exotisch: unmaskierte Eingaben in einer Shell-Zeile, Datenbank-Zugangsdaten, die der Webprozess lesen kann, ein ungepatchter Kernel. Geschützt hat Bash, dass die Forscher aufhörten. Für Distributionen heißt das, Gepacktes gegen signierte Tags zu prüfen, statt darauf zu vertrauen, dass wer auf eine Plattform pusht, der Maintainer ist; für Betreiber einer solchen Plattform ist das E-Mail-Feld eine Nutzereingabe wie jede andere.