# Faille dans GNU Savannah : une adresse e-mail permet l’exécution de code

_Publié le 30 octobre 2026 — https://ip73.fr/2026/10/30/faille-dans-gnu-savannah-une-adresse-e-mail-permet-l-execution-de-code/_

Une adresse e-mail du type `touch${IFS}/tmp/savane-rce-proof`@attacker.example a permis aux chercheurs de Hacktron d'obtenir une exécution de code à distance sur le backend de GNU Savannah, le dépôt hébergeant le code source de Bash et d'autres projets GNU. Cette découverte, rapportée à la Free Software Foundation (FSF) le 11 mai 2026, met en lumière la fragilité des infrastructures de logiciels libres, souvent gérées par des bénévoles aux ressources limitées.

Le point de départ était le validateur d'adresses e-mail de l'application Savane. Il acceptait des caractères spéciaux dans la partie locale de l'adresse, comme des backticks (`` ` ``), des dollars ($) ou des barres obliques (/). Ces caractères sont techniquement autorisés par le RFC. Lorsque les chercheurs ont utilisé cette adresse pour tester une clé GPG, le serveur exécutait la chaîne de caractères sans la nettoyer correctement. Le shell interprétait alors le contenu entre les backticks comme une commande à lancer, permettant de lancer un script sur le serveur, initialement sous l'utilisateur du serveur web.

À partir de là, le chemin s'est ouvert. En lisant les identifiants de la base de données, les chercheurs ont pu s'attribuer le statut de superutilisateur. Ce niveau d'accès leur a permis d'accéder au profil de Chet Ramey, mainteneur de Bash. Sur cette page, il était possible d'ajouter une clé SSH, offrant théoriquement un accès de poussée (push access) au dépôt `bash.git` sous le nom du mainteneur. Bien que Hacktron ait précisé ne pas avoir ajouté de clé ni modifié le dépôt, le potentiel d'une injection de code malveillant dans le logiciel utilisé par des millions de machines était établi.

## L'escalade de privilèges et la chaîne de vulnérabilités

Le scénario n'était pas terminé. Une fois le contrôle initial établi, les chercheurs ont exploité une faille plus profonde dans le système d'exploitation sous-jacent. Savannah fonctionnait sur Trisquel GNU/Linux 11, basé sur un noyau Linux-libre dérivé de l'Ubuntu 22.04. Ce noyau était affecté par les failles GameOver(lay), spécifiquement CVE-2023-2640 et CVE-2023-32629.

Ces vulnérabilités, qui touchent 40 % des charges de travail cloud basées sur Ubuntu selon Wiz Research, permettent une escalade de privilèges locale vers root. La complexité de la relation entre le noyau Linux et les modifications apportées par les distributions comme Ubuntu a créé un flux de vulnérabilité non corrigé dans cette version spécifique de noyau, même après que les correctifs aient été publiés pour d'autres versions.

## L'étendue des failles découvertes

Suite à ce premier succès critique, Hacktron a poursuivi son audit automatisé sur le code source de Savane. Ce processus a révélé un total de trente-trois anomalies, dont vingt-six ont été transmises à la FSF. Parmi ces 26 failles, deux étaient classées critiques, dont l'injection de commande via le test de clé GPG. D'autres problèmes notables incluaient des failles d'autorisation permettant à n'importe quel membre d'un groupe de supprimer des listes de diffusion ou de modifier les adresses de notification des groupes.

La FSF a rapidement réagi, corrigeant les failles du noyau et retirant le compte des chercheurs en l'espace de trois jours. Elle a affirmé, dans un communiqué de juin 2025, ne pas avoir trouvé de preuve que des données sensibles aient été compromises. Hacktron compare cette découverte à l'attaque par chaîne d'approvisionnement des utilitaires xz en 2024, bien que, dans ce cas, un commit malveillant aurait dû passer par le mainteneur de Bash.

Il faudra surveiller si les correctifs apportés à Savannah et aux noyaux Linux parviennent à combler toutes les portes d'entrée potentielles, car l'architecture des systèmes libres reste un terrain miné de complexités techniques.

## Sources

- [Securing Internet-Critical Software: How We Could Have Backdoored Bash](https://www.hacktron.ai/blog/hacking-gnu-savannah), hacktron.ai
- [GameOverlay Vulnerability Impacts 40% of Ubuntu Workloads \| Wiz Blog](https://www.wiz.io/blog/ubuntu-overlayfs-vulnerability), wiz.io
- [Flaw in GNU's code forge could have let attackers backdoor Bash](https://www.itnews.com.au/news/flaw-in-gnus-code-forge-could-have-let-attackers-backdoor-bash-630027?utm_source=feed&utm_medium=rss&utm_campaign=iTnews+), iTnews, 30 octobre 2026

## Crédits photo

- Image en une : [Wikimedia Foundation Servers-8055 08](https://commons.wikimedia.org/wiki/File:Wikimedia_Foundation_Servers-8055_08.jpg), par Victorgrigas, [CC BY-SA 3.0](https://creativecommons.org/licenses/by-sa/3.0), via Wikimedia Commons (recadrée)
- Image dans l’article : [Floridaserversfront1](https://commons.wikimedia.org/wiki/File:Floridaserversfront1.jpg), par No machine-readable author provided. SolarKennedy~commonswiki assumed (based on copyright claims)., Public domain, via Wikimedia Commons (recadrée)