Pesquisadores invadem GNU Savannah; FSF corrige 26 falhas e publica relatório
Pesquisadores da Hacktron demonstraram uma cadeia de ataque no GNU Savannah, forja que hospeda o código do Bash e do Coreutils: execução de código via injeção de comando no e-mail usado no teste de chaves GPG, root por kernel sem correção e poder de mantenedor com acesso de push ao bash.git. As falhas foram relatadas à FSF em 11 de maio de 2026; a FSF tratou o caso como comprometimento total, corrigiu o código, aplicou kernel novo, auditou acessos, bancos e logs, e publicou relatório de incidente em 19 de junho de 2026. Os pesquisadores afirmam que não alteraram repositórios e não há sinal de exploração maliciosa na janela de cerca de dois meses.
O que aconteceu
Pesquisadores de segurança demonstraram que era possível controlar o GNU Savannah, plataforma que hospeda o código-fonte do Bash, do Coreutils e de centenas de projetos GNU, e agir como mantenedor com acesso de escrita ao repositório do Bash. Eles relataram 26 falhas à FSF em maio de 2026 e afirmam não ter alterado nenhum código. A FSF corrigiu os problemas, auditou sistemas e publicou relatório de incidente.
Por que importa
O GNU Savannah é elo crítico da cadeia de suprimentos de software: segundo os pesquisadores, código que lá chega é empacotado por distribuições e instalado em milhões de máquinas, e o caso xz mostrou o que um elo comprometido pode fazer. Um atacante nessa posição poderia enviar código malicioso ao Bash ou ao Coreutils em nome do mantenedor. Os pesquisadores pararam antes disso e não há sinal de exploração maliciosa.
O que fazer
A FSF já corrigiu as 26 falhas, aplicou kernel corrigido e auditou acessos, bancos e logs. Equipes que operam instâncias públicas do Savane devem aplicar as correções, e servidores com kernel 5.15 devem receber o USN-8255-1 do Canonical.
Para o time técnico
- Afetados
- GNU Project GNU Savannah, plataforma que hospeda o código-fonte de projetos GNU · Savane 3.17-c369 (lançado em 7 de março de 2026) nas instâncias savannah.gnu.org e savannah.nongnu.org, janela de cerca de dois meses; host Savannah em Trisquel GNU/Linux 11 com kernel linux-libre 5.15 construído do 5.15 LTS do Ubuntu 22.04. Total de 26 vulnerabilidades confirmadas: 2 críticas, 6 altas, 16 médias, 2 baixas.
- Exploração
- Exploração demonstrada pelos próprios pesquisadores (Hacktron) e descrita em writeup público com payload e passos; nenhuma exploração maliciosa relatada. A FSF tratou o caso como comprometimento total e auditou controles de acesso, bancos de dados e logs.
- Correção
- FSF corrigiu as falhas; os bugs de autorização foram corrigidos por refatoração, não por patches individuais. Kernel corrigido instalado em 14 de maio de 2026 (o Canonical publicou o USN-8255-1 para o kernel 5.15 em 7 de maio de 2026) e a conta dos pesquisadores foi removida. Relatório de incidente publicado em 19 de junho de 2026.
- Vetor
- Injeção de comando no Savane (PHP): o validador de e-mail aceita metacaracteres de shell (crase, $, {}, /, |) no local part (frontend/php/include/account.php:275). No teste de chaves GPG (/my/admin/change.php?item=gpgkey), o e-mail é concatenado sem escape em comando gpg executado por proc_open via /bin/sh (frontend/php/include/gpg.php), dando RCE como usuário do servidor web a qualquer conta registrada. Root obtido com exploit público dos bugs OverlayFS GameOver(lay) (CVE-2023-2640 e CVE-2023-32629) no kernel linux-libre 5.15 ainda sem correção no host.
- Mais detalhes
- Cadeia: conta comum → RCE como usuário web → leitura das credenciais do banco na configuração → flag de superusuário na conta harshjaiswal → recurso 'Become this user' para chet (Chet Ramey, mantenedor do Bash) → página aceita adicionar chave SSH com push em bash.git (confirmado, não executado) → root via OverlayFS → chave SSH para host de backup da GNU como usuário gnubackup. Descoberta com a ferramenta Hacktron; motivação citada é o backdoor xz. Corwin Brust, administrador do Savannah, reconheceu o relatório na mesma noite e acordou janela de divulgação de 30 dias. Outras falhas: bypass de autorização em siteadmin/triggercreation.php, sequestro de sessão com session_uid e session_hash na URL, hashes de confirmação de troca de e-mail e reset sem expiração, XSS armazenado no campo de nome real. A FSF avisou a operadora da outra instância pública do Savane.
Linha do tempo
Writeup 'How We Could Have Backdoored Bash' sobre o caso ganha discussão no r/netsec.
Pesquisador afirma que as falhas foram relatadas à FSF em maio de 2026 e que a vulnerabilidade crítica foi corrigida de imediato.
Thread no X relata invasão bem-sucedida do GNU Savannah como pesquisa de segurança, sem detalhes de correção.
Fontes 2 fontes
- @S1r1u5_ @S1r1u5_
- @S1r1u5_ @S1r1u5_
- @S1r1u5_ @S1r1u5_
- Securing Internet-Critical Software: How We Could Have Backdoored Bash r/netsec
