Hacktron a décrit une chaîne de vulnérabilités qui, selon le groupe, aurait pu être utilisée pour compromettre les projets hébergés sur la forge de développement GNU Savannah, notamment Bash.
Le groupe affirme avoir utilisé une adresse e-mail contenant une syntaxe shell pour obtenir l’exécution de code sur le serveur dorsal de Savannah avec n’importe quel compte utilisateur enregistré. Hacktron a ensuite élevé les privilèges de son compte au niveau de superutilisateur et usurpé l’identité du mainteneur de Bash.
Dans le cadre du test, le groupe a confirmé qu’il pouvait ajouter une clé SSH autorisée à envoyer des modifications vers le dépôt amont de Bash. Cet accès aurait pu permettre à un attaquant d’insérer du code malveillant dans le projet.
Hacktron indique également qu’un noyau non corrigé lui a permis d’obtenir un accès root et d’atteindre un serveur de sauvegarde GNU. Le groupe affirme avoir informé la Free Software Foundation de ces résultats le 11 mai 2026.
Sources: LWN.net.