CVE-2025-43921: Creación no autenticada de listas de correo en GNU Mailman 2.1.39 (paquete cPanel/WHM)

Descubierto por: Firudin Davudzada y Musazada Aydan
Fecha de divulgación: Abril 2025
ID de CVE: CVE-2025-43921
Gravedad: 5.3 Medio (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N)
Tipo de ataque: Remoto
Software afectado: GNU Mailman 2.1.39 (incluido con cPanel/WHM)

Resumen

GNU Mailman 2.1.39, tal como se incluye en cPanel y WHM, es vulnerable a una falla de omisión de autenticación que permite a atacantes no autenticados crear listas de correo a través del endpoint /mailman/create. El problema se debe a la falta de controles de acceso en el script CGI create, lo que permite a los atacantes abusar del sistema de correo para spam, phishing o agotamiento de recursos.

Esta vulnerabilidad se alinea con problemas históricos de control de acceso en Mailman, como permisos incorrectos de gestión de listas en Postorius. Puede encadenarse con CVE-2025-43920 para aumentar el impacto, creando una plataforma para ataques más amplios.

Detalles de la vulnerabilidad

• Tipo de vulnerabilidad: Omisión de autenticación / Configuración incorrecta de control de acceso
• Proveedor: GNU Mailman (https://www.gnu.org/software/mailman/)
• Versiones afectadas: Mailman 2.1.39; probablemente afecta versiones 2.1.x anteriores (pendiente de pruebas de regresión)
• Componentes afectados:
  • Script CGI create (maneja solicitudes de creación de listas)
  • Mailman/Handlers/ (lógica de gestión de listas)
• Causa raíz: Ausencia de comprobaciones de autenticación para solicitudes POST a /mailman/create, permitiendo la creación arbitraria de listas.
• Estado: No hay parche oficial disponible. Mailman 2.1.x ha llegado al final de su vida útil (EOL); se recomienda encarecidamente migrar a Mailman 3.x.

Prueba de concepto

El siguiente comando crea una lista de correo llamada hacked:

curl http://target/mailman/create -d "listname=hacked&[email protected]&password=1234&confirm=1234"

Resultado esperado: Se crea una nueva lista de correo, controlable por el correo electrónico del propietario especificado por el atacante.

Vectores de ataque

• Vector principal: Solicitudes HTTP POST no autenticadas a /mailman/create con parámetros diseñados para crear listas de correo.
• Escenarios de explotación:
  • Crear listas no autorizadas para campañas de spam o phishing.
  • Sobrecargar recursos del servidor mediante la creación de numerosas listas.
  • Combinar con CVE-2025-43920 para ejecutar comandos a través de configuraciones de listas diseñadas.
• Facilidad de explotación: Alta, ya que el endpoint es accesible públicamente por defecto.

Impacto de seguridad

• Divulgación de información: Moderada (acceso posterior a la creación a metadatos de listas o datos de suscriptores).
• Ejecución de código: Posible (si se encadena con CVE-2025-43920).
• Escalada de privilegios: Moderada (control no autorizado sobre listas de correo).
• Denegación de servicio: Moderada (agotamiento de recursos por creación excesiva de listas).

Mitigaciones

Acciones inmediatas

• Bloquear el acceso al endpoint: Configurar el servidor web para restringir el acceso a /mailman/create:

  location /mailman/create {
      deny all;
      return 403;
  }
  

  O para Apache:

  <Location "/mailman/create">
      Deny from all
  </Location>
  

• Monitorear registros: Verificar intentos no autorizados de creación de listas:

  tail -f /var/log/mailman/* | grep "newlist"
  

Soluciones a largo plazo

• Actualizar a Mailman 3.x: Migrar a Mailman 3.x, que impone autenticación para la creación de listas.
• Deshabilitar la creación de listas: Si no es necesario, deshabilitar la creación de listas basada en web en la configuración de Mailman.
• Implementar limitación de velocidad: Aplicar limitación de velocidad en /mailman/create para prevenir abusos.
• Contexto histórico: Los problemas de control de acceso en Mailman, como los de Postorius, se mitigaron imponiendo permisos más estrictos. Actualizar a Mailman 3.x es crítico para sistemas EOL.

Cronología

• Q1 2025: Vulnerabilidad descubierta durante una evaluación autorizada de pruebas de penetración.
• Q1 2025: Reportada a los mantenedores de GNU Mailman y cPanel.
• Abril 2025: CVE asignado por MITRE.
• Abril 2025: Divulgación pública a través de este repositorio.

Referencias

• Mailman 2.1 Source Code
• CVE-2025-43921 Record
• National Institute of Standards and Technology (NIST) - CVE-2025-43921
• Mailman Security Recommendations
• Tenable - CVE-2025-43921
• OpenCVE - CVE-2025-43921
• SecAlerts - CVE-2025-43921
• AliYun - CVE-2025-43921

Agradecimientos

Firudin Davudzada y Musazada Aydan divulgaron responsablemente esta vulnerabilidad durante un compromiso de pruebas de penetración autorizado. Agradecimientos al equipo MITRE CVE por la coordinación.

Contacto

Correo electrónico: [email protected]\