CVE-2025-43921: GNU Mailman 2.1.39 (cPanel/WHM बंडल) में बिना प्रमाणीकरण के मेलिंग सूची निर्माण

खोजकर्ता: Firudin Davudzada और Musazada Aydan
प्रकटीकरण तिथि: अप्रैल 2025
CVE ID: CVE-2025-43921
गंभीरता: 5.3 मध्यम (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N)
हमले का प्रकार: दूरस्थ
प्रभावित सॉफ्टवेयर: GNU Mailman 2.1.39 (cPanel/WHM के साथ बंडल)

अवलोकन

GNU Mailman 2.1.39, जो cPanel और WHM के साथ बंडल है, एक प्रमाणीकरण बायपास दोष के लिए कमजोर है जो बिना प्रमाणीकृत हमलावरों को /mailman/create एंडपॉइंट के माध्यम से मेलिंग सूची बनाने की अनुमति देता है। यह समस्या create CGI स्क्रिप्ट में गायब एक्सेस नियंत्रणों के कारण उत्पन्न होती है, जिससे हमलावर स्पैम, फ़िशिंग या संसाधन थकावट के लिए मेलिंग सिस्टम का दुरुपयोग कर सकते हैं।

यह भेद्यता Mailman में पिछले एक्सेस नियंत्रण मुद्दों के अनुरूप है, जैसे कि Postorius में अनुचित सूची प्रबंधन अनुमतियाँ। इसे प्रभाव बढ़ाने के लिए CVE-2025-43920 के साथ जोड़ा जा सकता है, जो व्यापक हमलों के लिए एक मंच तैयार करता है।

भेद्यता विवरण

• भेद्यता प्रकार: प्रमाणीकरण बायपास / एक्सेस नियंत्रण गलत कॉन्फ़िगरेशन
• विक्रेता: GNU Mailman (https://www.gnu.org/software/mailman/)
• प्रभावित संस्करण: Mailman 2.1.39; संभवतः पुराने 2.1.x संस्करणों को प्रभावित करता है (प्रतिगमन परीक्षण लंबित)
• प्रभावित घटक:
  • create CGI स्क्रिप्ट (सूची निर्माण अनुरोधों को संभालती है)
  • Mailman/Handlers/ (सूची प्रबंधन तर्क)
• मूल कारण: /mailman/create पर POST अनुरोधों के लिए प्रमाणीकरण जाँच का अभाव, जो मनमानी सूची निर्माण की अनुमति देता है।
• स्थिति: कोई आधिकारिक सुधार उपलब्ध नहीं है। Mailman 2.1.x जीवन-अंत (EOL) है; Mailman 3.x पर माइग्रेट करने की दृढ़ता से अनुशंसा की जाती है।

प्रमाण की अवधारणा

निम्नलिखित कमांड hacked नामक एक मेलिंग सूची बनाता है:

curl http://target/mailman/create -d "listname=hacked&[email protected]&password=1234&confirm=1234"

अनुमानित परिणाम: एक नई मेलिंग सूची बनाई जाती है, जो हमलावर द्वारा निर्दिष्ट स्वामी ईमेल द्वारा नियंत्रित होती है।

हमले के वेक्टर

• प्राथमिक वेक्टर: मेलिंग सूची बनाने के लिए तैयार पैरामीटर्स के साथ /mailman/create पर बिना प्रमाणीकृत HTTP POST अनुरोध।
• दोहन परिदृश्य:
  • स्पैम या फ़िशिंग अभियानों के लिए अनधिकृत सूचियाँ बनाना।
  • अनेक सूचियाँ बनाकर सर्वर संसाधनों को ओवरलोड करना।
  • CVE-2025-43920 के साथ मिलाकर तैयार सूची कॉन्फ़िगरेशन के माध्यम से कमांड निष्पादित करना।
• दोहन में आसानी: उच्च, क्योंकि एंडपॉइंट डिफ़ॉल्ट रूप से सार्वजनिक रूप से सुलभ है।

सुरक्षा प्रभाव

• सूचना प्रकटीकरण: मध्यम (सूची मेटाडेटा या सब्सक्राइबर डेटा तक पोस्ट-निर्माण पहुँच)।
• कोड निष्पादन: संभव (यदि CVE-2025-43920 के साथ जोड़ा जाए)।
• विशेषाधिकार वृद्धि: मध्यम (मेलिंग सूचियों पर अनधिकृत नियंत्रण)।
• सेवा अस्वीकरण: मध्यम (अत्यधिक सूची निर्माण से संसाधन थकावट)।

शमन

तत्काल कार्रवाइयाँ

• एंडपॉइंट एक्सेस को ब्लॉक करें: /mailman/create तक पहुँच प्रतिबंधित करने के लिए वेब सर्वर को कॉन्फ़िगर करें:

  root@kitploit:~

  location /mailman/create {
      deny all;
      return 403;
  }
  

  या Apache के लिए:

  root@kitploit:~

  <Location "/mailman/create">
      Deny from all
  </Location>
  

• लॉग की निगरानी करें: अनधिकृत सूची निर्माण प्रयासों की जाँच करें:

  root@kitploit:~

  tail -f /var/log/mailman/* | grep "newlist"
  

दीर्घकालिक समाधान

• Mailman 3.x में अपग्रेड करें: Mailman 3.x में माइग्रेट करें, जो सूची निर्माण के लिए प्रमाणीकरण लागू करता है।
• सूची निर्माण अक्षम करें: यदि आवश्यक न हो, तो Mailman सेटिंग्स में वेब-आधारित सूची निर्माण अक्षम करें।
• दर-सीमा लागू करें: दुरुपयोग को रोकने के लिए /mailman/create पर दर-सीमा लागू करें।
• ऐतिहासिक संदर्भ: Mailman में एक्सेस नियंत्रण मुद्दे, जैसे कि Postorius में, सख्त अनुमतियाँ लागू करके शमित किए गए थे। EOL सिस्टम के लिए Mailman 3.x में अपग्रेड करना महत्वपूर्ण है।

समयरेखा

• Q1 2025: अधिकृत प्रवेश परीक्षण मूल्यांकन के दौरान भेद्यता की खोज।
• Q1 2025: GNU Mailman और cPanel अनुरक्षकों को सूचित किया गया।
• अप्रैल 2025: MITRE द्वारा CVE असाइन किया गया।
• अप्रैल 2025: इस रिपॉजिटरी के माध्यम से सार्वजनिक प्रकटीकरण।

संदर्भ

• Mailman 2.1 स्रोत कोड
• CVE-2025-43921 रिकॉर्ड
• राष्ट्रीय मानक एवं प्रौद्योगिकी संस्थान (NIST) - CVE-2025-43921
• Mailman सुरक्षा अनुशंसाएँ
• Tenable - CVE-2025-43921
• OpenCVE - CVE-2025-43921
• SecAlerts - CVE-2025-43921
• AliYun - CVE-2025-43921

आभार

Firudin Davudzada और Musazada Aydan ने एक स्वीकृत प्रवेश परीक्षण अभियान के दौरान इस भेद्यता को जिम्मेदारी से प्रकट किया। समन्वय के लिए MITRE CVE टीम को धन्यवाद।

संपर्क

ईमेल: [email protected]\