Hacktron披露GNU Savannah漏洞链可推送恶意代码

Hacktron 团队披露 GNU Savannah 代码托管平台存在后端命令注入漏洞，任意注册用户用形如 `touch${IFS}/tmp/savane-rce-proof`@attacker.example 的注册邮箱即可触发后端代码执行。该团队称借此把自己的账号提为超级用户、冒充 Bash 维护者，并确认可向 Bash 上游仓库添加具有推送权限的 SSH 密钥；其还称利用未打补丁的内核获得 root 权限并访问一台 GNU 备份服务器。 该团队称已于 2026 年 5 月 11 日向 FSF 报告这些问题。LWN 转述了 Hacktron 博客的上述披露。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。