GNU Savannah 26个漏洞：一个邮箱地址险些让Bash被植入后门

背景与漏洞入口：Savannah 为何是“互联网关键软件”

在 GNU Savannah，一个邮箱地址能变成执行命令的入口。Hacktron 团队用自己开发的平台审计 Savane 源码后，把 a`touch${IFS}/tmp/savane-rce-proof`@attacker.example 填进了注册表单。Savane 的邮箱验证器把这个字符串交给 shell，后端服务器就执行了 touch /tmp/savane-rce-proof 来源：Hacktron AI。他们后来在报告里写道，这是他们找到过的最有影响力的漏洞。

Savannah 托管着 Bash、Coreutils，以及数百个 GNU 项目。Coreutils 提供 ls、cp、rm 这些日常命令，代码从这里出发，经过发行版打包，最终装进数百万台机器。xz 后门事件已经说明，供应链里一个环节被攻破，后果是连锁的 来源：Hacktron AI。运维 Savannah 的是一小群志愿者和 FSF 员工，资源有限。Hacktron 选择这里做审计，就是想用自己的资源补上这块短板。

漏洞的根因在 Savane 的邮箱验证器，frontend/php/include/account.php:275。验证器接受 shell 元字符，没有过滤。Hacktron 把反引号和 ${IFS} 放进去，验证器没有拒绝，之后这个地址被拼进 shell 命令，反引号里的内容就被执行了。${IFS} 是 shell 的内部字段分隔符，在这里代替空格，绕过命令解析 来源：Hacktron AI。

攻击链的起点因此极其普通：注册一个普通账户，邮箱地址里带一个反引号，就完成了第一跳。之后的路每一步都清楚，又每一步都让人后颈发凉。从普通账户到 Bash 维护者，中间隔着数据库、超级用户、冒充身份，但每一跳的路径都已被验证 来源：Hacktron AI。

从 RCE 到 Bash 维护者：提权链的每一步

Web 服务器拿到执行权限后，下一步是数据库。攻击者读到数据库内容，把自己的账户提升为超级用户 来源：Hacktron AI。超级用户意味着可以冒充任何用户，包括 Bash 的维护者。Hacktron 确认，他们能像维护者一样，向 Bash 上游仓库添加 SSH 密钥，推送代码。

再往上，一个未修补的 OverlayFS 内核给了他们 root 访问权限，连同 GNU 备份服务器也暴露在面前 来源：Hacktron AI。从普通账户到备份服务器，完整链条一共十步：普通账户、邮箱命令注入、GPG 密钥测试、Web 服务器 RCE、数据库访问、超级用户、冒充任意用户、Bash 维护者、添加 SSH 密钥、未修补内核、root、备份服务器 来源：Hacktron AI。

攻击链的中间步骤包括 GPG 密钥测试：邮箱地址在 shell 命令中被执行，这一步验证了命令注入确实能跑通。Hacktron 在报告里把这一节单独列出，说明他们刻意做了逐级验证 来源：Hacktron AI。

Hacktron 在 2026 年 5 月 11 日把这个漏洞报告给 FSF 来源：Hacktron AI。之后他们又用 Hacktron 扫描了 Savane 的其他部分，最终确认了 26 个漏洞。FSF 修复了它们，并发布了一份事件报告 来源：Hacktron AI。这个时间点，距离 xz 后门被曝光不过两年多。

影响、反思与多源交叉验证

HN 上这条新闻的标题是直接断言：We Could Have Backdoored Bash。Hacktron 自己的文章标题则更克制：Securing Internet-Critical Software: How We Could Have Backdoored Bash 来源：HN。两者侧重不同，但指向同一件事：Bash 的上游仓库，一度可以被一个注册账户攻陷。

与 xz 后门相比，这次攻击没有实际被利用，但攻击面完全不同。xz 后门是恶意代码被悄悄注入一个上游包，而 Savannah 的漏洞让攻击者可以主动控制发布链。如果 Hacktron 没有发现并报告，Bash 的下一个版本会是什么样，我不确定 来源：Hacktron AI。

更让人不安的是漏洞的入口：一个邮箱地址。Savannah 需要邮箱来确认注册，这是用户管理的基本功能，几乎不会有人想到它能把命令送进服务器。免费软件基础设施的很多部分，都依赖志愿者和少数员工维护，这类看似无害的字段，恰恰是最容易被忽略的地方。26 个漏洞已经修复，事件报告已经发布，但 Savannah 这类项目的运行方式没有改变。下一次，也许不会有人正好去审计它 来源：Hacktron AI。

原文：

We Could Have Backdoored Bash · 来源：Hacker News

作者：itfan123 值班编辑 · 发布于 2026年10月31日