CVE-2025-43919: Verzeichnis-Traversal in GNU Mailman 2.1.39 (cPanel/WHM Bundle)

Entdeckt von: Firudin Davudzada & Musazada Aydan
Offenlegungsdatum: April 2025
CVE-ID: CVE-2025-43919
Schweregrad: 5.8 Mittel (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N)
Angriffstyp: Remote
Betroffene Software: GNU Mailman 2.1.39 (im Bundle mit cPanel/WHM)

Übersicht

GNU Mailman 2.1.39, wie es mit cPanel und WHM gebündelt wird, enthält eine kritische Verzeichnis-Traversal-Schwachstelle im Endpunkt /mailman/private/mailman. Nicht authentifizierte Angreifer können diese Schwachstelle ausnutzen, um beliebige Dateien auf dem Server zu lesen, wie z.B. /etc/passwd oder Mailman-Konfigurationsdateien, aufgrund unzureichender Eingabevalidierung im CGI-Skript private.py. Diese Schwachstelle birgt erhebliche Risiken für die Offenlegung von Informationen und kann weitere Angriffe erleichtern, wenn sie mit anderen Exploits kombiniert wird.

Details zur Sicherheitslücke

• Schwachstellentyp: Verzeichnis-Traversal
• Anbieter: GNU Mailman (GNU Mailman)
• Betroffene Versionen: Mailman 2.1.39; wahrscheinlich auch ältere 2.1.x-Versionen betroffen (Regressionsprüfung steht aus)
• Betroffene Komponenten:
  • CGI-Skript private.py (behandelt Authentifizierung für private Archive)
  • archive.py (Logik zur Archivverarbeitung)
  • Mailman/Handlers/ (Kernlogik für Mailinglisten)
  • Potenzielle Offenlegung von .mbox-Archivdateien
• Ursache: Der Parameter username in POST-Anfragen an /mailman/private/mailman wird nicht bereinigt, sodass ../-Sequenzen einen Dateisystem-Durchgriff ermöglichen.
• Status: Kein offizieller Fix verfügbar. Mailman 2.1.x ist am Ende seiner Lebensdauer (EOL); eine Migration auf Mailman 3.x wird dringend empfohlen.

Beweis des Konzepts

Der folgende Befehl demonstriert den unbefugten Zugriff auf /etc/passwd:

curl -X POST -d "username=../../../../etc/passwd&password=x&submit=Let+me+in..." http://target/mailman/private/mailman

Erwartete Ausgabe: Inhalt von /etc/passwd oder anderen anvisierten Dateien, abhängig von den Serverberechtigungen.

Angriffsvektoren

• Primärer Vektor: Nicht authentifizierte HTTP-POST-Anfragen an /mailman/private/mailman mit manipulierten username-Parametern, die ../ enthalten.
• Ausnutzungsszenarien:
  • Abruf sensibler Systemdateien (z.B. /etc/passwd, /etc/shadow falls Berechtigungen es erlauben).
  • Zugriff auf Mailman-Konfigurationsdateien oder .mbox-Archive zur Extraktion von Benutzerdaten oder E-Mail-Inhalten.
  • Nutzung der offengelegten Informationen, um diese mit anderen Schwachstellen für eskalierte Angriffe zu verketten.
• Einfachheit der Ausnutzung: Hoch, da der Endpunkt öffentlich zugänglich ist und keine Authentifizierung erfordert.

Sicherheitsauswirkungen

• Informationsoffenlegung: Hoch (Offenlegung sensibler Dateiinhalte).
• Codeausführung: Möglich (falls offengelegte Dateien weitere Exploits ermöglichen).
• Privilegienerweiterung: Möglich (falls sensible Daten Zugang zu privilegierten Konten ermöglichen).
• Denial of Service: Mittel (Ressourcenerschöpfung durch wiederholte Dateizugriffsversuche).

Gegenmaßnahmen

Sofortmaßnahmen

• Endpunktzugriff einschränken: Konfigurieren Sie den Webserver so, dass unbefugter Zugriff auf /mailman/private blockiert wird:

  root@kitploit:~

  <Location "/mailman/private">
      Require ip 127.0.0.1
      Deny from all
  </Location>
  

  Oder für Nginx:

  root@kitploit:~

  location /mailman/private {
      deny all;
      return 403;
  }
  

• Protokolle überwachen: Prüfen Sie auf verdächtige POST-Anfragen an /mailman/private/mailman:

  root@kitploit:~

  tail -f /var/log/httpd/access_log | grep "/mailman/private"
  

Langfristige Lösungen

• Upgrade auf Mailman 3.x: Migrieren Sie zu Mailman 3.x, das eine robuste Eingabevalidierung enthält und aktiv gewartet wird.
• Weboberfläche deaktivieren: Deaktivieren Sie die Weboberfläche von Mailman, falls nicht benötigt, um die Angriffsfläche zu verringern.
• Dateisystem härten: Stellen Sie sicher, dass sensible Dateien und Verzeichnisse strenge Berechtigungen haben, um unbefugten Zugriff zu verhindern.

Zeitleiste

• Q1 2025: Entdeckt während eines autorisierten Penetrationstests.
• Q1 2025: Gemeldet an die Betreuer von GNU Mailman und cPanel.
• April 2025: CVE durch MITRE vergeben.
• April 2025: Öffentliche Offenlegung über dieses Repository.

Referenzen

• Mailman 2.1 Quellcode
• CVE-2025-43919 Eintrag
• National Institute of Standards and Technology (NIST) - CVE-2025-43919
• Mailman Sicherheitsempfehlungen
• Tenable - CVE-2025-43919
• OpenCVE - CVE-2025-43919
• SecAlerts - CVE-2025-43919
• AliYun - CVE-2025-43919

Danksagungen

Firudin Davudzada und Musazada Aydan haben diese Schwachstelle im Rahmen eines genehmigten Penetrationstests verantwortungsvoll offengelegt. Dank an das MITRE CVE-Team für die Koordination.

Kontakt

E-Mail: [email protected]