https://cyberveille.ch/tags/gnu-savannah/ Recent content in GNU Savannah on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Tue, 03 Nov 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-11-03-hacktron-compromet-gnu-savannah-via-injection-shell-dans-un-champ-email-acces-root-et-push-bash/ Tue, 03 Nov 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-11-03-hacktron-compromet-gnu-savannah-via-injection-shell-dans-un-champ-email-acces-root-et-push-bash/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 30 octobre 2026 sur le blog de Hacktron (hacktron.ai), cet article est un post-mortem de recherche offensive menée sur <strong>GNU Savannah</strong>, la forge logicielle hébergeant des projets GNU critiques comme <strong>Bash</strong> et <strong>Coreutils</strong>. La recherche a été conduite via la plateforme Hacktron et signalée à la FSF le 11 mai 2026.</p> <h2 id="-vulnérabilité-principale--hck-001-critique">🐛 Vulnérabilité principale — HCK-001 (Critique)</h2> <p>La forge utilise <strong>Savane</strong>, une application PHP héritée du code SourceForge de 2001. Le validateur d&rsquo;adresses email (<code>check_email</code>) accepte des caractères spéciaux comme les backticks dans la partie locale d&rsquo;une adresse, conformément à la RFC. Lors du test de clé GPG (<code>/my/admin/gpgkeys</code>), la fonction <code>test_listing()</code> concatène l&rsquo;adresse email directement dans une commande shell passée à <code>gpg</code> via <code>utils_run_proc()</code>, sans échappement.</p>