Falha no GNU Savannah poderia ter permitido backdoor no Bash, segundo pesquisadores da Hacktron

O ponto de partida é uma injeção de comando clássica. O validador de email do Savane (account.php) aceita caracteres como crase, $, {}, / e |, porque a RFC os permite na parte local do endereço. Na função de teste de chaves GPG, o email entra como texto puro numa string de comando, e o proc_open() do PHP a executa via /bin/sh. O shell resolve o que está entre crases antes de o gpg rodar. O ${IFS} entra no payload porque o validador rejeita espaços e o shell o expande para um.

A versão vulnerável veio do release 3.17-c369 do Savane, de 7 de março de 2026, e afetou o savannah.gnu.org e o savannah.nongnu.org. A janela de exposição foi de cerca de dois meses. Com o shell como usuário do servidor web, os pesquisadores leram as credenciais do banco, marcaram a própria conta como superusuário e usaram a função "Become this user" para assumir a conta de Chet Ramey, mantenedor do Bash. Pararam ao confirmar que a página de chaves SSH aceitava edição, sem adicionar chave nem tocar no repositório. O kernel 5.15 do Trisquel 11 ainda era afetado pelo GameOver(lay) (CVE-2023-2640 e CVE-2023-32629), corrigido nessa linha só em 7 de maio de 2026, quatro dias antes do relato. O exploit público deu root e uma chave para um host de backup do GNU. O relato à FSF foi feito em 11 de maio de 2026. Uma varredura posterior no restante do Savane gerou 26 achados confirmados (2 críticos, 6 altos, 16 médios, 2 baixos), todos corrigidos pela FSF, que também tratou o caso como comprometimento total e avisou o operador da outra instância pública do Savane.

Para quem opera forges ou qualquer aplicação que chame processos externos, o recado é prático: argumentos em array, não em string de shell, e a parte local de emails tratada como entrada hostil. Para quem mantém servidores com kernel LTS, vale confirmar se o backport de fato chegou, pois a falha de 2023 seguiu aberta no 5.15 por anos. Num elo da cadeia de suprimentos como o GNU, a conta de um mantenedor vale tanto quanto o código.