Un correo bastaba para colar una puerta trasera en Bash

Unos investigadores consiguieron hacerse con el control de GNU Savannah, la forja donde se alojan proyectos GNU, y llegaron a confirmar que podían añadir una clave SSH con permiso de escritura en el repositorio oficial de Bash. Según cuentan en el blog de Hacktron, recogido por LWN.net, desde ahí podrían haber metido código malicioso en cualquiera de los proyectos alojados en la plataforma. El punto de entrada fue tan simple como el campo de correo electrónico del registro.

Todo empezó con una dirección de correo

El equipo explica que, usando su herramienta Hacktron, encontró que una dirección como touch${IFS}/tmp/savane-rce-proof@attacker.example daba a cualquier usuario registrado la posibilidad de ejecutar código en el servidor de la forja. La dirección lleva dentro una orden de terminal: las comillas invertidas hacen que el intérprete de comandos ejecute lo que hay entre ellas, y ${IFS} sustituye al espacio para que la orden pase como si fuera parte de un correo válido. En la prueba, la orden se limitaba a crear un archivo en /tmp para demostrar que funcionaba.

Con esa puerta abierta, la escalada fue rápida. Según el relato de Hacktron, los investigadores:

• convirtieron su cuenta en superusuario de la forja;
• se hicieron pasar por el mantenedor de Bash;
• comprobaron que podían añadir una clave SSH con permiso para subir cambios al repositorio oficial de Bash;
• aprovecharon un núcleo sin parchear para obtener acceso root a la máquina;
• y desde ahí alcanzaron un servidor de copias de seguridad de GNU.

Avisaron a la Free Software Foundation (FSF) el 11 de mayo de 2026. El blog se titula, sin rodeos, «Cómo podríamos haber metido una puerta trasera en Bash».

Lo que no se sabe todavía

El material publicado no detalla si el fallo está ya corregido ni cuándo se arregló, aunque el aviso se dio hace casi seis meses y la publicación sugiere que el plazo de divulgación ha pasado. Tampoco explica si la FSF ha revisado los repositorios para descartar que alguien más encontrara el mismo agujero antes, ni qué ha pasado con el núcleo sin actualizar que permitió llegar a root. Son las preguntas que cualquiera que dependa de estos proyectos querría ver respondidas por escrito.

Por qué importa

Bash es el intérprete de comandos por defecto en una enorme cantidad de sistemas, y lo que se publica en su repositorio oficial acaba, tarde o temprano, en distribuciones, servidores y contenedores. Quien controla ese punto de la cadena de suministro no necesita atacar a nadie más: le basta con esperar a que el código viaje solo.

Lo inquietante del caso no es solo la gravedad, sino la sencillez. Un campo de formulario sin filtrar, un sistema sin parchear y un servidor de copias accesible desde el mismo sitio componen un fallo de manual en una infraestructura de la que depende software crítico. La filosofía del software libre ofrece algo que el cerrado no tiene: el código se puede auditar y, en este caso, alguien lo hizo y avisó. Pero esa ventaja solo protege si la infraestructura que guarda y distribuye el código recibe el mismo cuidado que el propio código.

Fuente: LWN.net