Det detaljer om en potentiell attack mot GNU Savannah som gjorde det möjligt att kompromettera Bash- och Coreutils-repositorier.

Hacktron har offentliggjort detaljer om en demonstrativ attack mot den friberedda källkodshostingtjänsten GNU Savannah, som fortfarande används för att utveckla vissa verktyg inom GNU, inklusive Bash och Coreutils. Genom det genomförda experimentet lyckades forskarna köra kod på GNU Savannah-servern, få root-rättigheter, byta SSH-nycklar för Bash-ansvarig, identifiera möjligheten att göra ändringar i det primära git-repositoriet för projektet Bash och få tillgång till servern med säkerhetskopior.

Den utförda testattacken och de identifierade problemen rapporterades omedelbart till administratörerna för GNU Savannah. Problemen åtgärdades i maj. Sammanlagt identifierade forskarna 9 sårbarheter, varav 2 ansågs kritiska och 4 farliga. Den första kritiska sårbarheten tillät att kringgå autentiseringen vid tillgång till inställningar som endast är tillgängliga för webbplatsens administratör (siteadmin/triggercreation.php).

Den andra kritiska sårbarheten tillät körning av kod på servern genom att ange en särskilt utformad e-post. Problemet orsakades av bristande korrekt hantering av specialtecken och kunde utnyttjas genom att ange en registrerings-e-post av typen "a`touch${IFS}\/tmp\/savane-rce-proof`@example.com" och sedan klicka på knappen för att kontrollera GPG-nyckeln i webbgränssnittet (e-posten infogades i körsträngen för gpg-verktyget som anropades genom PHP-funktionen proc_open()).

Genom att få kod att köras med rättigheter från webbservern, hittade forskarna ett lösenord för databashanteraren i konfigurationsfilen och ändrade åtkomsträttigheterna i databasen för sitt registrerade konto från en icke-privilegierad användare till administratör. Administratörsbehörighet i Savannahs webbgränssnitt gav möjlighet att arbeta som vilken användare som helst utan att behöva ange lösenord. Forskare utnyttjade denna möjlighet, loggade in som Bash-projektets ansvarige och upptäckte möjligheten att lägga till sin egen SSH-nyckel för att ansluta till git-repositoriet. Om nyckeln lades till fanns det möjlighet att skicka commits till Bash å den ansvariges vägnar.

Root-rättigheterna på servern erhölls genom att utnyttja en tidigare känd sårbarhet i Linux-kärnan, som inte var uppdaterad på servern (Trisquel GNU/Linux 11 distribution var installerad baserat på
Ubuntu 22.04 med kärnan linux-libre 5.15). En sårbarhet i OverlayFS (CVE-2023-2640) användes för angreppet. Det är värt att notera att en lösning på sårbarheten var tillgänglig redan 2023, men företaget Canonical åtgärdade problemet först i kärnorna 5.19 och 6.2, medan en patch för kärnan 5.15 släpptes först den 7 maj 2026. Efter att ha fått root-åtkomst upptäckte forskarna en SSH-nyckel för användaren "gnubackup" i systemet, vilket möjliggjorde anslutning till värden med backup utan lösenord.

Källa: opennet.ru