#supply-chain

安全团队 Hacktron 在博客中称，他们利用 GNU Savannah 协作平台的输入处理缺陷，使任意注册用户仅凭形如 \touch$\{IFS\}/tmp/savane-rce-proof\@attacker.example 的邮箱地址就能在后端执行代码，并进一步把自己的账户提升为超级用户。该团队称，随后它冒充 Bash 维护者，确认可以添加具有上游 Bash 仓库推送权限的 SSH 密钥；它还利用一个未打补丁的内核获得 root 权限，并访问了一台 GNU 备份服务器。上述步骤表明，攻击者本可向该平台托管的项目注入恶意代码，但现有报道并未称已发生实际恶意推送；Hacktron 表示已于 2026 年 5 月 11 日向 FSF 报告，LWN 的摘要未说明漏洞的修复状态。