Společnost Hacktron zveřejnila podrobnosti o demonstračním útoku na hosting volného kódu GNU Savannah, který je stále používán pro vývoj některých nástrojů GNU, včetně Bash a Coreutils. V rámci provedeného experimentu se podařilo vykonat kód na serveru GNU Savannah, získat na něm práva root, vyměnit SSH klíče doprovázejícího Bash, odhalit možnost provádění změn v hlavním git repozitáři projektu Bash a získat přístup k serveru s zálohami.
O provedeném testovacím útoku a zjištěných problémech bylo ihned informováno vedení GNU Savannah. Problémy byly vyřešeny v květnu. Celkem vědci odhalili 9 zranitelností, z nichž 2 byly označeny za kritické a 4 za nebezpečné. První kritická zranitelnost umožňovala obejít autentizaci při přístupu k nastavením, které jsou dostupné pouze administrátorovi webu (siteadmin/triggercreation.php).
Druhá kritická zranitelnost umožnila vykonat kód na serveru pomocí speciálně vytvořeného e-mailu. Problém byl způsoben nedostatečným escapováním speciálních znaků a mohl být zneužit zadáním při registraci e-mailu ve formátu „a`touch${IFS}\/tmp\/savane-rce-proof`@example.com“ s následným stisknutím v webovém rozhraní tlačítka pro ověření GPG klíče (e-mail byl dosazen do příkazového řádku utility gpg, vyvolávané pomocí PHP funkce proc_open()).
Jakmile se podařilo vykonat kód s právy webového serveru, výzkumníci našli heslo pro přístup k databázi v konfiguračním souboru a změnili v databázi přístupová práva svého registrovaného účtu z nepřevýšeného uživatele na administrátora. Práva administrátora v webovém rozhraní Savannah umožňovala práci pod jakýmkoli uživatelským účtem bez zadání hesla. Výzkumníci využili této možnosti, přihlásili se pod jménem doprovázejícího projektu Bash a zjistili, že mohou přidat svůj SSH klíč pro připojení k git repozitáři. Při přidání klíče se objevila možnost odesílat commity do Bash jménem doprovázejícího.
Práva root na serveru byla získána prostřednictvím zneužití již známé zranitelnosti v jádře Linuxu, které nebylo na serveru aktualizováno (byla nainstalována distribuce Trisquel GNU/Linux 11 na bázi
Ubuntu 22.04 s jádrem linux-libre 5.15). K útoku byla použita zranitelnost v OverlayFS (CVE-2023-2640). Je zajímavé, že oprava zranitelnosti byla k dispozici od roku 2023, ale společnost Canonical problém neodstranila včas, a to až v jádrech 5.19 a 6.2, zatímco pro jádro 5.15 byl patch vydán až 7. května 2026. Po získání práv root výzkumníci objevili v systému SSH klíč uživatele „gnubackup“, který umožňuje bez hesla připojit se k hostiteli s zálohovými kopiemi.
Zdroj: opennet.ru
