Falha no GNU Savannah poderia ter permitido backdoor no Bash, apontam pesquisadores da Hacktron

O problema estava no Savane, aplicação PHP que roda o GNU Savannah e o savannah.nongnu.org. O validador de e-mail (account.php) aceitava endereços com crases, $, {}, / e |, que a RFC permite na parte local. O recurso "Test GPG keys" montava um comando do gpg concatenando esse e-mail como texto puro, e o proc_open() do PHP passava a string para o /bin/sh. Resultado: o shell executava o conteúdo entre crases antes de o gpg iniciar. O ${IFS} entrou no payload porque o validador rejeita espaços.

Segundo a Hacktron, a rota vulnerável veio com a versão 3.17-c369 do Savane, de 7 de março de 2026, o que dá uma janela de cerca de dois meses. A pesquisa reportou o caso à FSF em 11 de maio de 2026. Com execução de código como usuário do servidor web, os pesquisadores leram as credenciais do banco, marcaram a própria conta como superusuária e usaram o "Become this user" para assumir a conta de Chet Ramey, mantenedor do Bash. Confirmaram que a página aceitava a inclusão de chave SSH, o que daria push no bash.git, mas pararam ali e não tocaram no repositório.

A escalada para root usou o GameOver(lay) (CVE-2023-2640 e CVE-2023-32629). O kernel 5.15 do Trisquel 11 só recebeu correção no USN-8255-1, de 7 de maio de 2026, quatro dias antes do reporte. Como root, acharam uma chave SSH para um servidor de backup do GNU. A auditoria seguinte do Savane rendeu 26 vulnerabilidades confirmadas (2 críticas, 6 altas, 16 médias, 2 baixas). A FSF corrigiu tudo, atualizou o kernel, auditou acessos, bancos e logs, avisou o operador da outra instância pública do Savane e publicou relatório do incidente.

O assunto já havia sido tratado pelo CEVIU em 30 de outubro de 2026, na matéria "Falha no GNU Savannah poderia ter permitido backdoor no Bash, segundo pesquisadores da Hacktron", que descrevia o mecanismo do e-mail com comandos entre crases no teste de chaves GPG. A cobertura de 3 de novembro de 2026 acrescenta o encadeamento completo: o caminho até superusuário, a escalada a root pelo GameOver(lay), o acesso ao servidor de backup e o total de 26 falhas corrigidas pela FSF.

Para quem mantém forges, repositórios ou pipelines que dependem de projetos GNU, o caso mostra que a conta de maintainer e a chave SSH são o elo crítico. Uma entrada de formulário sem sanitização, somada a um kernel sem patch, chegou perto de comprometer a cadeia de suprimentos. A leitura prática: revisar onde dados do usuário viram linha de comando e priorizar patches de escalada local em servidores de infraestrutura compartilhada.