GNU Savannah war kompromittierbar: Push-Zugriff auf Bash möglich
Hacktron legt offen, wie GNU Savannah im Mai 2026 über eine präparierte E-Mail-Adresse übernommen werden konnte, bis hin zu möglichem Push-Zugriff auf das Bash-Repository und Root über einen ungepatchten Kernel. Die FSF hat die Lücken geschlossen und sieht keine Manipulation der Lieferkette.
Das Sicherheitsunternehmen Hacktron hat am 30. Oktober 2026 offengelegt, wie es im Mai die Kontrolle über GNU Savannah übernehmen konnte, die Plattform, auf der unter anderem Bash und Coreutils entwickelt werden. Eine präparierte E-Mail-Adresse reichte für Code-Ausführung auf dem Server. Danach konnten die Forscher sich zum Superuser machen, als Bash-Maintainer auftreten und einen SSH-Schlüssel mit Push-Rechten auf das Bash-Repository hinterlegen. Das unterblieb nach Angaben von Hacktron.
Akuten Handlungsbedarf gibt es nicht: Die FSF hat die Lücken im Mai geschlossen und meldet in ihrem Vorfallsbericht keine Hinweise auf eine Manipulation. Relevant ist der Fall für alle, die Software direkt aus Upstream-Quellen beziehen, und für Betreiber eigener Savane-Instanzen. Für diese gehört ein Update ins nächste Wartungsfenster.
Was ist passiert?
Savannah läuft auf Savane, einer PHP-Anwendung. Laut Hacktron akzeptierte der E-Mail-Validator Zeichen wie Backticks und Dollarzeichen. Beim Test eines GPG-Schlüssels setzte Savane die E-Mail-Adresse ungeschützt in einen Shell-Befehl ein. Eine Adresse mit eingebettetem Befehl brachte so jeden registrierten Nutzer zur Code-Ausführung als Webserver-Benutzer.
Der Webserver-Benutzer konnte die Konfiguration samt Datenbank-Zugangsdaten lesen. Damit setzten die Forscher das Superuser-Flag am eigenen Konto und nutzten die Funktion „Become this user“, um als Bash-Maintainer Chet Ramey aufzutreten. Dessen SSH-Schlüsselseite ließ sich bearbeiten. Ein dort hinterlegter Schlüssel hätte Push-Zugriff auf bash.git bedeutet. Hacktron bestätigte nur, dass die Seite Änderungen annahm.
Für Root nutzten die Forscher GameOver(lay), zwei OverlayFS-Lücken aus 2023 (CVE-2023-2640 und CVE-2023-32629). Der 5.15-Kernel von Ubuntu 22.04, auf dem Savannahs Trisquel-Kernel aufbaut, war erst seit dem 7. Mai 2026 gepatcht. Als Root fanden sie einen Schlüssel für einen GNU-Backup-Server. Bei einer anschließenden Prüfung des Savane-Codes meldete Hacktron insgesamt 26 Befunde, davon 2 kritisch und 6 hoch.
Gemeldet wurde am 11. Mai 2026, am 14. Mai lief der korrigierte Kernel. Der Vorfallsbericht der FSF vom 7. August 2026 bestätigt Ablauf und Lücken. Die FSF hat Zugriffskontrollen, Datenbanken und Logs geprüft und geht davon aus, dass weder sensible Projektdaten noch Zugangsdaten abgeflossen sind und die Lieferkette nicht kompromittiert wurde. Zwei XSS-Meldungen stufte sie als Fehlalarme ein.
Wer ist betroffen?
- Betroffen waren savannah.gnu.org und savannah.nongnu.org. Die anfällige Stelle kam laut FSF mit Savane 3.17-c369 vom 7. März 2026, das Fenster betrug also rund zwei Monate.
- Betreiber eigener Savane-Instanzen sollen laut FSF auf die aktuelle Version aktualisieren.
- Anwender von Bash, Coreutils und anderen GNU-Paketen sind nach heutigem Stand nicht betroffen, da keine Manipulation bekannt ist.
Wie kritisch ist das?
Die Kette war schwerwiegend: Ein beliebiges Konto genügte, um am Ende Commits im Namen von Maintainern pushen zu können, bei Bash, Coreutils oder jedem anderen Projekt auf Savannah. Code von dort landet in Distributionen und auf Millionen Systemen. Hacktron zieht selbst den Vergleich zur xz-Hintertür. Gleichzeitig beruht die Entwarnung auf der FSF-Untersuchung; eine unabhängige Prüfung liegt nicht vor.
Was sollten Admins jetzt tun?
- Inventar prüfen: Welche Software wird direkt als Tarball oder Git-Checkout von Savannah oder ftp.gnu.org gebaut statt aus Distributionspaketen bezogen?
- GNU-Tarballs vor dem Bauen mit
gpg --verify paket.tar.gz.siggegen den GNU-Schlüsselring prüfen. Eine gültige Signatur belegt den Release-Tarball, nicht jeden Commit im Repository. - Wo möglich Distributionspakete nutzen, die Distributionen selbst bauen und signieren.
- Eigene Savane-Instanzen auf die aktuelle Version bringen.
- Kernel eigener Server aktuell halten: Die Root-Rechte kamen über eine drei Jahre alte, im 5.15-Zweig spät gepatchte Lücke.
Einordnung für Unternehmen
Der Fall zeigt, wie viel Vertrauen auf kleinen Upstream-Forges liegt, die von wenigen Freiwilligen betrieben werden. Unternehmen sollten in ihrer Lieferkettenbewertung auch Herkunftswege einzelner Quellpakete erfassen und eigene Builds an verifizierte Quellen binden. Panik ist nicht angebracht, die Lücken sind seit Mai geschlossen.
Passende Anleitungen auf S-EDV
- Unattended Upgrades: automatische Sicherheitsupdates für Debian und Ubuntu
- Linux-Server absichern mit UFW und Fail2ban
- Signaturschlüssel-Wechsel bei Firefox und Thunderbird unter Linux prüfen
