Das Unternehmen Hacktron hat Einzelheiten zu einem Demonstrationsangriff auf das GNU Savannah Hosting für Open-Source-Code veröffentlicht, das weiterhin für die Entwicklung einiger GNU-Tools, einschließlich Bash und Coreutils, verwendet wird. Im Rahmen des Experiments gelang es, Code auf dem GNU Savannah-Server auszuführen, Root-Rechte zu erlangen, die SSH-Schlüssel des Bash-Betreuers zu ersetzen, die Möglichkeit zur Änderung des Haupt-Git-Repositorys des Bash-Projekts aufzuzeigen und auf den Server mit den Backups zuzugreifen.
Über den durchgeführten Testangriff und die entdeckten Probleme wurde umgehend die Verwaltung von GNU Savannah informiert. Die Probleme wurden im Mai behoben. Insgesamt identifizierten die Forscher 9 Sicherheitsanfälligkeiten, von denen 2 als kritisch und 4 als gefährlich eingestuft wurden. Die erste kritische Sicherheitsanfälligkeit ermöglichte es, die Authentifizierung beim Zugriff auf Einstellungen, die nur für den Website-Administrator verfügbar sind (siteadmin/triggercreation.php), zu umgehen.
Die zweite kritische Sicherheitsanfälligkeit erlaubte die Ausführung von Code auf Server über die Angabe einer speziell formatierten E-Mail. Das Problem wurde durch unzureichende Escape-Behandlung von Sonderzeichen verursacht und konnte ausgenutzt werden, indem bei der Registrierung eine E-Mail in der Form "a`touch${IFS}/tmp/savane-rce-proof`@example.com" eingegeben wurde, gefolgt von einem Klick auf die Schaltfläche zur Überprüfung des GPG-Schlüssels im Web-Interface (die E-Mail wurde in die Startzeile des über die PHP-Funktion proc_open() aufgerufenen gpg-Tools eingefügt).
Nachdem der Code mit den Rechten des Webservers ausgeführt worden war, fanden die Forscher das Passwort für den Zugriff auf die Datenbank im Konfigurationsfile und änderten in der Datenbank die Zugriffsrechte für ihr registriertes Konto von einem nicht-privilegierten Benutzer auf Administrator. Die Administratorrechte im Web-Interface von Savannah ermöglichten die Arbeit unter jedem Benutzer ohne Eingabe eines Passworts. Die Forscher nutzten diese Möglichkeit, loggten sich als Betreuer des Bash-Projekts ein und fanden die Möglichkeit, ihren eigenen SSH-Schlüssel für den Zugriff auf das Git-Repository hinzuzufügen. Bei der Hinzufügung des Schlüssels bestand die Möglichkeit, Commits im Namen des Betreuers an Bash zu senden.
Root-Rechte auf dem Server wurden durch die Ausnutzung einer bereits bekannten Schwachstelle im Linux-Kernel erlangt, die auf dem Server nicht aktualisiert worden war (die Distribution Trisquel GNU/Linux 11 war installiert).
Ubuntu 22.04 mit dem Kernel linux-libre 5.15). Bei dem Angriff wurde eine Schwachstelle in OverlayFS (CVE-2023-2640) ausgenutzt. Bemerkenswert ist, dass der Fix für die Schwachstelle seit 2023 verfügbar war, jedoch die Firma Canonical das Problem erst in den Kernen 5.19 und 6.2 zeitnah behoben hat, während für den Kernel 5.15 der Patch erst am 7. Mai 2026 veröffentlicht wurde. Nachdem die Forscher Root-Rechte erlangt hatten, fanden sie im System den SSH-Schlüssel des Benutzers „gnubackup“, der eine passwortlose Verbindung zum Host mit den Backups ermöglichte.
Quelle: opennet.ru
