Un equipo de seguridad de Hacktron ha documentado una vulnerabilidad crítica en GNU Savannah, la plataforma que aloja proyectos clave como Bash y Coreutils. El fallo, reportado el 11 de mayo de 2026, permitía a un usuario registrado ejecutar código arbitrario en el backend del servidor mediante la manipulación de la dirección de correo electrónico. El ataque explotaba una validación deficiente en la aplicación PHP Savane, que aceptaba caracteres especiales en la parte local del correo, permitiendo la ejecución de comandos a través de la función de prueba de claves GPG. Al obtener un shell remoto, los investigadores escalaron privilegios hasta convertirse en superusuario, accedieron al repositorio de Bash y obtuvieron acceso root al kernel del servidor, el cual aún no tenía parche para las vulnerabilidades OverlayFS de 2023. La FSF corrigió el fallo y publicó un informe de incidente detallado, confirmando que el incidente afectó tanto a savannah.gnu.org como a savannah.nongnu.org durante un periodo de dos meses. El hallazgo subraya los riesgos de seguridad en la infraestructura de software libre mantenida por voluntarios con recursos limitados.
Noticias agregadas con IA