Savannah 취약점으로 Bash 저장소 푸시 권한까지 가능했지만 실제 변경은 없었다

본문

Hacktron은 GNU Savannah의 Savane 취약점을 악용하면 Bash 저장소에 코드를 올릴 권한까지 확보할 수 있었다고 공개했습니다. 다만 연구진은 Bash 관리자 계정의 SSH 키 설정을 바꿀 수 있는 화면을 확인했을 뿐, 키를 추가하거나 저장소에 코드를 올리지는 않았습니다. FSF도 내부 점검 결과 민감한 프로젝트 데이터나 자격 증명에 접근한 흔적이 없고 소프트웨어 공급망이 침해되지 않았다고 밝혔습니다.

Savannah는 Bash와 Coreutils 등 GNU 프로젝트의 저장소와 관리 계정을 호스팅합니다. 이 서비스가 사용하는 웹 애플리케이션 Savane의 GPG 키 확인 기능은 계정 이메일 주소를 명령 문자열에 이어 붙여 셸에 전달했습니다. 이메일 주소에 포함된 특수문자가 명령으로 해석되면서 로그인한 사용자가 웹 서버에서 코드를 실행할 수 있었습니다. 이 취약한 경로는 2026년 3월 7일 공개된 Savane 3.17-c369에 들어갔으며 savannah.gnu.org와 savannah.nongnu.org에 영향을 줬습니다.

Hacktron은 웹 서버 권한으로 실행한 뒤 Savane 설정에서 데이터베이스 자격 증명을 확인하고 자기 계정을 최고 관리자 권한으로 바꿨다고 설명했습니다. 최고 관리자는 다른 계정으로 전환할 수 있어 Bash 관리자 계정의 SSH 키 설정에 접근할 수 있었습니다. Savannah의 Git 호스팅은 이 키 설정을 푸시 권한과 연결하지만, 연구진은 키를 등록하거나 저장소를 수정하지 않았습니다.

웹 서버 권한에서 시스템 관리자 권한으로 올라간 과정에는 별도의 커널 취약점도 쓰였습니다. FSF는 Savannah가 사용하던 Trisquel GNU/Linux 11의 5.15 계열 커널에서 OverlayFS 취약점 CVE-2023-2640과 CVE-2023-32629가 악용됐다고 확인했습니다. FSF는 5월 14일 수정 커널을 설치하고 Savane 코드를 고쳤으며 접근 제어와 데이터베이스, 로그를 점검했습니다. FSF의 8월 7일 보고서는 민감한 프로젝트 데이터와 자격 증명에 접근한 것으로 보이지 않으며 공급망 침해도 없었다고 결론냈습니다.

Hacktron은 Savane 점검에서 33건을 찾고 7건을 오탐으로 제외해 26건을 FSF에 보냈다고 밝혔습니다. FSF의 공개 보고서는 HCK-001부터 HCK-008까지를 다루며, 이 가운데 교차 사이트 스크립팅으로 신고된 HCK-005와 HCK-007은 오탐으로 판정했습니다. 따라서 26건은 Hacktron이 신고한 수이며, FSF가 공개 보고서에서 모두 확인한 취약점 수를 뜻하지는 않습니다.

자료: Hacktron, Free Software Foundation / 정리·해설: Trawling

참고 자료

• savannah-20260807.pdf — https://static.fsf.org/nosvn/security/savannah-20260807.pdf