CVE-2025-43919: Directory Traversal en GNU Mailman 2.1.39 (Paquete cPanel/WHM)

Descubierto por: Firudin Davudzada & Musazada Aydan
Fecha de divulgación: Abril de 2025
CVE ID: CVE-2025-43919
Gravedad: 5.8 Medium (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N)
Tipo de ataque: Remoto
Software afectado: GNU Mailman 2.1.39 (incluido con cPanel/WHM)

Resumen

GNU Mailman 2.1.39, tal como se incluye con cPanel y WHM, contiene una vulnerabilidad crítica de Directory Traversal en el endpoint /mailman/private/mailman. Atacantes no autenticados pueden explotar esta falla para leer archivos arbitrarios en el servidor, como /etc/passwd o archivos de configuración de Mailman, debido a una validación insuficiente de entrada en el script CGI private.py. Esta vulnerabilidad presenta riesgos significativos de divulgación de información y puede facilitar ataques adicionales cuando se combina con otros exploits.

Detalles de la vulnerabilidad

• Tipo de vulnerabilidad: Directory Traversal
• Vendedor: GNU Mailman (GNU Mailman)
• Versiones afectadas: Mailman 2.1.39; probablemente afecta a versiones anteriores de 2.1.x (pendiente de pruebas de regresión)
• Componentes afectados:
  • script CGI private.py (maneja la autenticación de archivos privados)
  • archive.py (lógica de procesamiento de archivos)
  • Mailman/Handlers/ (lógica central de listas de correo)
  • Posible exposición de archivos de archivo .mbox
• Causa raíz: El parámetro username en las solicitudes POST a /mailman/private/mailman no se sanitiza, permitiendo secuencias ../ para atravesar el sistema de archivos.
• Estado: No hay parche oficial disponible. Mailman 2.1.x está al final de su vida útil (EOL); se recomienda encarecidamente migrar a Mailman 3.x.

Prueba de Concepto

El siguiente comando demuestra el acceso no autorizado a /etc/passwd:

curl -X POST -d "username=../../../../etc/passwd&password=x&submit=Let+me+in..." http://target/mailman/private/mailman

Salida esperada: Contenido de /etc/passwd u otros archivos objetivo, dependiendo de los permisos del servidor.

Vectores de Ataque

• Vector primario: Solicitudes HTTP POST no autenticadas a /mailman/private/mailman con parámetros username manipulados que contienen ../.
• Escenarios de explotación:
  • Recuperar archivos sensibles del sistema (por ejemplo, /etc/passwd, /etc/shadow si los permisos lo permiten).
  • Acceder a archivos de configuración de Mailman o archivos .mbox para extraer datos de usuario o contenido de correo electrónico.
  • Usar la información divulgada para encadenar con otras vulnerabilidades y realizar ataques escalados.
• Facilidad de explotación: Alta, ya que el endpoint es accesible públicamente y no requiere autenticación.

Impacto en la Seguridad

• Divulgación de información: Alta (exposición de contenido de archivos sensibles).
• Ejecución de código: Posible (si los archivos divulgados permiten más exploits).
• Escalada de privilegios: Posible (si los datos sensibles proporcionan acceso a cuentas privilegiadas).
• Denegación de servicio: Moderada (agotamiento de recursos por intentos repetidos de acceso a archivos).

Mitigaciones

Acciones Inmediatas

• Restringir acceso al endpoint: Configure el servidor web para bloquear el acceso no autorizado a /mailman/private:

  root@kitploit:~

  <Location "/mailman/private">
      Require ip 127.0.0.1
      Deny from all
  </Location>
  

  O para Nginx:

  root@kitploit:~

  location /mailman/private {
      deny all;
      return 403;
  }
  

• Monitorear registros: Verifique solicitudes POST sospechosas a /mailman/private/mailman:

  root@kitploit:~

  tail -f /var/log/httpd/access_log | grep "/mailman/private"
  

Soluciones a Largo Plazo

• Actualizar a Mailman 3.x: Migre a Mailman 3.x, que incluye una validación de entrada robusta y se mantiene activamente.
• Deshabilitar la interfaz web: Si no es necesaria, deshabilite la interfaz web de Mailman para reducir la superficie de ataque.
• Endurecer el sistema de archivos: Asegúrese de que los archivos y directorios sensibles tengan permisos estrictos para evitar accesos no autorizados.

Cronología

• T1 2025: Descubierto durante una evaluación de pruebas de penetración autorizada.
• T1 2025: Reportado a los mantenedores de GNU Mailman y cPanel.
• Abril de 2025: CVE asignado por MITRE.
• Abril de 2025: Divulgación pública a través de este repositorio.

Referencias

• Código fuente de Mailman 2.1
• Registro CVE-2025-43919
• Instituto Nacional de Estándares y Tecnología (NIST) - CVE-2025-43919
• Recomendaciones de seguridad de Mailman
• Tenable - CVE-2025-43919
• OpenCVE - CVE-2025-43919
• SecAlerts - CVE-2025-43919
• AliYun - CVE-2025-43919

Agradecimientos

Firudin Davudzada y Musazada Aydan divulgaron responsablemente esta vulnerabilidad durante un compromiso de pruebas de penetración autorizado. Gracias al equipo de CVE de MITRE por la coordinación.

Contacto

Email: [email protected]