CVE-2025-43919: Travessia de Diretório no GNU Mailman 2.1.39 (Pacote cPanel/WHM)

Descoberto por: Firudin Davudzada & Musazada Aydan
Data de Divulgação: Abril de 2025
ID CVE: CVE-2025-43919
Severidade: 5.8 Média (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N)
Tipo de Ataque: Remoto
Software Afetado: GNU Mailman 2.1.39 (integrado ao cPanel/WHM)

Visão Geral

O GNU Mailman 2.1.39, conforme distribuído com cPanel e WHM, contém uma vulnerabilidade crítica de travessia de diretório no endpoint /mailman/private/mailman. Atacantes não autenticados podem explorar essa falha para ler arquivos arbitrários no servidor, como /etc/passwd ou arquivos de configuração do Mailman, devido à validação insuficiente de entrada no script CGI private.py. Essa vulnerabilidade representa riscos significativos de divulgação de informações e pode facilitar ataques adicionais quando combinada com outras explorações.

Detalhes da Vulnerabilidade

• Tipo de Vulnerabilidade: Travessia de Diretório
• Fornecedor: GNU Mailman (GNU Mailman)
• Versões Afetadas: Mailman 2.1.39; provavelmente afeta versões 2.1.x mais antigas (testes de regressão pendentes)
• Componentes Afetados:
  • Script CGI private.py (lida com autenticação de arquivos privados)
  • archive.py (lógica de processamento de arquivos)
  • Mailman/Handlers/ (lógica central de listas de discussão)
  • Possível exposição de arquivos .mbox
• Causa Raiz: O parâmetro username em requisições POST para /mailman/private/mailman não é sanitizado, permitindo sequências ../ para percorrer o sistema de arquivos.
• Status: Nenhuma correção oficial disponível. Mailman 2.1.x está em fim de vida (EOL); a migração para Mailman 3.x é fortemente recomendada.

Prova de Conceito

O seguinte comando demonstra o acesso não autorizado a /etc/passwd:

curl -X POST -d "username=../../../../etc/passwd&password=x&submit=Let+me+in..." http://alvo/mailman/private/mailman

Saída Esperada: Conteúdo de /etc/passwd ou outros arquivos alvo, dependendo das permissões do servidor.

Vetores de Ataque

• Vetor Principal: Requisições HTTP POST não autenticadas para /mailman/private/mailman com parâmetros username contendo ../.
• Cenários de Exploração:
  • Obter arquivos sensíveis do sistema (ex.: /etc/passwd, /etc/shadow se as permissões permitirem).
  • Acessar arquivos de configuração do Mailman ou arquivos .mbox para extrair dados de usuários ou conteúdo de e-mail.
  • Usar informações divulgadas para encadear com outras vulnerabilidades em ataques escalados.
• Facilidade de Exploração: Alta, já que o endpoint é publicamente acessível e não requer autenticação.

Impacto de Segurança

• Divulgação de Informações: Alto (exposição de conteúdo de arquivos sensíveis).
• Execução de Código: Possível (se os arquivos divulgados permitirem explorações adicionais).
• Escalação de Privilégios: Possível (se dados sensíveis fornecerem acesso a contas privilegiadas).
• Negação de Serviço: Moderado (exaustão de recursos por tentativas repetidas de acesso a arquivos).

Mitigações

Ações Imediatas

• Restringir Acesso ao Endpoint: Configurar o servidor web para bloquear acesso não autorizado a /mailman/private:

  root@kitploit:~

  <Location "/mailman/private">
      Require ip 127.0.0.1
      Deny from all
  </Location>
  

  Ou para Nginx:

  root@kitploit:~

  location /mailman/private {
      deny all;
      return 403;
  }
  

• Monitorar Logs: Verificar requisições POST suspeitas para /mailman/private/mailman:

  root@kitploit:~

  tail -f /var/log/httpd/access_log | grep "/mailman/private"
  

Soluções de Longo Prazo

• Atualizar para Mailman 3.x: Migrar para Mailman 3.x, que inclui validação de entrada robusta e é mantido ativamente.
• Desabilitar Interface Web: Se não for necessária, desabilitar a interface web do Mailman para reduzir a superfície de ataque.
• Endurecer o Sistema de Arquivos: Garantir que arquivos e diretórios sensíveis tenham permissões restritas para evitar acesso não autorizado.

Linha do Tempo

• Q1 2025: Descoberto durante avaliação autorizada de teste de penetração.
• Q1 2025: Reportado aos mantenedores do GNU Mailman e cPanel.
• Abril de 2025: CVE atribuído pela MITRE.
• Abril de 2025: Divulgação pública através deste repositório.

Referências

• Código Fonte do Mailman 2.1
• Registro CVE-2025-43919
• National Institute of Standards and Technology (NIST) - CVE-2025-43919
• Recomendações de Segurança do Mailman
• Tenable - CVE-2025-43919
• OpenCVE - CVE-2025-43919
• SecAlerts - CVE-2025-43919
• AliYun - CVE-2025-43919

Agradecimentos

Firudin Davudzada e Musazada Aydan divulgaram responsavelmente esta vulnerabilidade durante um engajamento autorizado de teste de penetração. Agradecemos à equipe MITRE CVE pela coordenação.

Contato

E-mail: [email protected]