Hacktron erläutert, wie eine Schwachstelle in GNU Savannah eine Bash-Hintertür hätte ermöglichen können

Hacktron hat eine Kette von Schwachstellen beschrieben, die nach Angaben der Gruppe dazu hätte verwendet werden können, auf der GNU-Savannah-Entwicklungsforge gehostete Projekte, darunter Bash, zu kompromittieren.

Die Gruppe gibt an, eine E-Mail-Adresse mit Shell-Syntax verwendet zu haben, um mit jedem registrierten Benutzerkonto eine Codeausführung auf dem Backend von Savannah zu erreichen. Anschließend stufte Hacktron sein Konto zu Superuser-Rechten hoch und gab sich als Maintainer von Bash aus.

Im Rahmen des Tests bestätigte die Gruppe, dass sie einen SSH-Schlüssel mit der Berechtigung hinzufügen konnte, Änderungen in das Upstream-Bash-Repository zu übertragen. Dieser Zugriff hätte einem Angreifer ermöglichen können, bösartigen Code in das Projekt einzuschleusen.

Hacktron berichtet außerdem, dass ein nicht gepatchter Kernel es der Gruppe ermöglichte, Root-Zugriff zu erlangen und einen GNU-Backup-Server zu erreichen. Die Gruppe gibt an, die Free Software Foundation am 11. Mai 2026 über die Erkenntnisse informiert zu haben.

Quellen: LWN.net.