Hacktron avaldas üksikasjad demonstratsiooni rünnaku kohta GNU Savannahi avatud koodiga hostimisele, mida kasutatakse jätkuvalt mitmete GNU tööriistade arendamiseks, sealhulgas Bash ja Coreutils. Eksperimendi käigus õnnestus kood käivitada GNU Savannahi serveris, saada serveris juurõigused, asendada Bashi hooldaja SSH-võtmed, tuvastada võimalus muuta Bash projekti põhigit-repositooriumi ja pääseda varukoopiate serverisse.
Testirünnakust ja tuvastatud probleemidest teatati kohe GNU Savannahi administraatoritele. Probleemid fikseeriti maikuus. Uuringutega tuvastati kokku 9 haavatavust, millest 2 tunnistati kriitilisteks ja 4 ohtlikeks. Esimene kriitiline haavatavus võimaldas mööduda autentimisest, kui juurdepääsuks olid saidihalduri (siteadmin/triggercreation.php) seaded.
Teine kriitiline haavatavus võimaldas koodi täitmist serveris märgitud spetsiaalselt vormistatud e-posti kaudu. Probleem oli põhjustatud erimärkide nõuetekohase ekraanimise puudumisest ja seda saadi ära kasutada registreerimise käigus järgmise e-posti sisestamisega: "a`touch${IFS}\/tmp\/savane-rce-proof`@example.com", millele järgnes GPG-võtme kontrollimise nuppu vajutamine veebiliideses (e-posti sisestati gpg tööriista käivitamise reale, mis kutsuti PHP-funktsiooni proc_open() kaudu esile).
Kuna uurijad saavutasid koodi täitmise veebiserveri õigustega, leidsid nad andmebaasi konfiguratsioonifailist juurdepääsu parooli ja muutsid oma registreeritud konto juurdepääsuõigusi andmebaasis privileegitud kasutajaks. Savannahi veebiliidese administraatori õigused võimaldasid töötada mis tahes kasutajana ilma parooli sisestamata. Uurijad kasutasid seda võimalust, sisenedes Bash projekti hooldaja nime all, ja leidsid võimaluse lisada oma SSH-võti git-repositooriumisse ühendamiseks. Kui võti lisati, tekkis võimalus saata komiteerimisi Bash'i hooldaja nime all.
Juurõigused serveris saadi eelnevalt teadaoleva haavatavuse kaudu Linuxi tuumas, mis polnud serveris uuendatud (serveris oli installitud Trisquel GNU/Linux 11 jaotust).
Ubuntu 22.04 koos linux-libre 5.15 tuumaga. Rünnakuks kasutati haavatavust OverlayFS-is (CVE-2023-2640). Huvi äratavalt, et haavatavuse parandamine oli saadaval juba 2023. aastal, kuid Canonical lahendas probleemi kiiresti ainult tuumade 5.19 ja 6.2 puhul, samas kui tuuma 5.15 jaoks ilmus patch alles 7. mail 2026. Uurijad, kes said root-õigused, avastasid süsteemist SSH-võtme kasutajalt „gnubackup”, mis võimaldas paroolita ühenduda varukoopia hostiga.
Allikas: opennet.ru
