Kompania Hacktron zbuloi detaje mbi një sulm demonstrues ndaj hostingut të kodit të lirë GNU Savannah, i cili vazhdon të përdoret për zhvillimin e disa mjeteve GNU, përfshirë Bash dhe Coreutils. Si rezultat i eksperimentit të kryer, arriti të ekzekutojë kod në serverin GNU Savannah, të fitojë të drejtat root, të ndërronte çelësat SSH të Bash-it dhe të zbulonte mundësinë për të bërë ndryshime në depozitën kryesore git të projektit Bash, si dhe të fitonte qasje në serverin me kopje rezervë.
Administratoret e GNU Savannah u njoftuan menjëherë për sulmin e testuar dhe problemet e zbuluara. Problemet u eliminuan në maj. Në total, studiuesit zbuluan 9 vulnerabilitete, prej të cilave 2 u njohën si kritike dhe 4 si të rrezikshme. Vulnerabiliteti i parë kritik lejonte anashkalimin e autentifikimit kur iu qasësh konfigurimeve që ishin të disponueshme vetëm për administratorin e faqes (siteadmin/triggercreation.php).
Vulnerabiliteti i dytë kritik lejonte ekzekutimin e kodit në server përmes tregimit të një email-i të formatuar në mënyrë të veçantë. Problemi u shkaktua nga mungesa e duhur e ekranuar të karaktereve speciale dhe mund të shfrytëzohej përmes regjistrimit me një email si «a`touch${IFS}/tmp/savane-rce-proof`@example.com» dhe më pas duke klikuar në ndërfaqen web në butonin e verifikimit të çelësit GPG (email-i do të vendosej në komandën që thirrej nga funksioni PHP proc_open()).
Duke arritur të ekzekutojnë kodin me të drejta të serverit web, studiuesit gjetën fjalëkalimin për qasje në DB në skedarin e konfigurimit dhe ndryshuan të drejtat e aksesit në DB për llogarinë e tyre të regjistruar nga përdoruesi jo me privilegje në administrator. Të drejtat e administratorit në ndërfaqen web të Savannah ofronin mundësinë për të punuar si ndonjë përdorues tjetër pa futur fjalëkalimin. Studiuesit e shfrytëzuan këtë mundësi, hynë në emër të mbështetësit të projektit Bash dhe gjetën mundësinë për të shtuar çelësin e tyre SSH për t'u lidhur me depozitën git. Në rastin e shtimit të çelësit, do të kishte mundësinë për të dërguar komitete në Bash në emër të mbështetësit.
Të drejtat root në server u fituan përmes shfrytëzimit të një vulnerabiliteti tashmë të njohur në bërthamën Linux, e cila nuk ishte përditësuar në server (ishte instaluar distribucioni Trisquel GNU/Linux 11 të bazuar në)
Ubuntu 22.04 me kernel linux-libre 5.15). Për sulmin u shfrytëzua një dobësi në OverlayFS (CVE-2023-2640). E rëndësishme është se zgjidhja e dobësisë ishte e disponueshme që në vitin 2023, por kompania Canonical e adresoi problemin vetëm në kernelët 5.19 dhe 6.2, ndërsa për kernelin 5.15 lëshoi një patch vetëm më 7 maj 2026. Pas përvetësimit të të drejtave root, hulumtuesit zbuluan në sistemin SSH-çelësin e përdoruesit "gnubackup", i cili lejon lidhjen me hostin me kopje rezervë pa fjalëkalim.
Burimi: opennet.ru
