CVE-2025-43919: Directory Traversal в GNU Mailman 2.1.39 (пакет cPanel/WHM)

Обнаружено: Фирдудин Давудзада и Мусазада Айдан
Дата раскрытия: Апрель 2025
ID CVE: CVE-2025-43919
Серьёзность: 5.8 Средний (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N)
Тип атаки: Удалённая
Затронутое ПО: GNU Mailman 2.1.39 (в составе cPanel/WHM)

Обзор

GNU Mailman 2.1.39, поставляемый в составе cPanel и WHM, содержит критическую уязвимость directory traversal в конечной точке /mailman/private/mailman. Неаутентифицированные злоумышленники могут использовать эту ошибку для чтения произвольных файлов на сервере, таких как /etc/passwd или файлы конфигурации Mailman, из-за недостаточной проверки входных данных в CGI-скрипте private.py. Эта уязвимость представляет значительные риски раскрытия информации и может способствовать дальнейшим атакам в сочетании с другими эксплойтами.

Детали уязвимости

• Тип уязвимости: Directory Traversal
• Вендор: GNU Mailman (GNU Mailman)
• Затронутые версии: Mailman 2.1.39; вероятно, затрагивает более старые версии 2.1.x (требуется регрессионное тестирование)
• Затронутые компоненты:
  • CGI-скрипт private.py (обрабатывает аутентификацию для частных архивов)
  • archive.py (логика обработки архивов)
  • Mailman/Handlers/ (основная логика списков рассылки)
  • Возможное раскрытие файлов архивов .mbox
• Основная причина: Параметр username в POST-запросах к /mailman/private/mailman не санируется, что позволяет использовать последовательности ../ для обхода файловой системы.
• Статус: Официальное исправление отсутствует. Mailman 2.1.x больше не поддерживается (EOL); настоятельно рекомендуется миграция на Mailman 3.x.

Подтверждение концепции

Следующая команда демонстрирует несанкционированный доступ к /etc/passwd:

curl -X POST -d "username=../../../../etc/passwd&password=x&submit=Let+me+in..." http://target/mailman/private/mailman

Ожидаемый вывод: Содержимое /etc/passwd или других целевых файлов, в зависимости от прав доступа на сервере.

Векторы атаки

• Основной вектор: Неаутентифицированные HTTP POST-запросы к /mailman/private/mailman с подставленным параметром username, содержащим ../.
• Сценарии эксплуатации:
  • Получение конфиденциальных системных файлов (например, /etc/passwd, /etc/shadow, если позволяют разрешения).
  • Доступ к файлам конфигурации Mailman или архивам .mbox для извлечения данных пользователей или содержимого писем.
  • Использование раскрытой информации для объединения с другими уязвимостями в целях усиления атак.
• Простота эксплуатации: Высокая, так как конечная точка общедоступна и не требует аутентификации.

Влияние на безопасность

• Раскрытие информации: Высокое (раскрытие содержимого конфиденциальных файлов).
• Выполнение кода: Возможно (если раскрытые файлы позволят реализовать дальнейшие эксплойты).
• Повышение привилегий: Возможно (если конфиденциальные данные предоставят доступ к привилегированным учётным записям).
• Отказ в обслуживании: Умеренный (истощение ресурсов при повторяющихся попытках доступа к файлам).

Смягчение

Немедленные действия

• Ограничить доступ к конечной точке: Настройте веб-сервер на блокировку несанкционированного доступа к /mailman/private:

  root@kitploit:~

  <Location "/mailman/private">
      Require ip 127.0.0.1
      Deny from all
  </Location>
  

  Или для Nginx:

  root@kitploit:~

  location /mailman/private {
      deny all;
      return 403;
  }
  

• Мониторинг логов: Проверьте журналы на наличие подозрительных POST-запросов к /mailman/private/mailman:

  root@kitploit:~

  tail -f /var/log/httpd/access_log | grep "/mailman/private"
  

Долгосрочные решения

• Обновление до Mailman 3.x: Мигрируйте на Mailman 3.x, который включает надёжную проверку входных данных и активно поддерживается.
• Отключение веб-интерфейса: Если он не требуется, отключите веб-интерфейс Mailman, чтобы уменьшить поверхность атаки.
• Ужесточение файловой системы: Убедитесь, что конфиденциальные файлы и каталоги имеют строгие разрешения, предотвращающие несанкционированный доступ.

Временная шкала

• Q1 2025: Обнаружено в ходе авторизованного тестирования на проникновение.
• Q1 2025: Сообщено в GNU Mailman и разработчикам cPanel.
• Апрель 2025: CVE присвоен MITRE.
• Апрель 2025: Публичное раскрытие через этот репозиторий.

Ссылки

• Исходный код Mailman 2.1
• Запись CVE-2025-43919
• Национальный институт стандартов и технологий (NIST) - CVE-2025-43919
• Рекомендации по безопасности Mailman
• Tenable - CVE-2025-43919
• OpenCVE - CVE-2025-43919
• SecAlerts - CVE-2025-43919
• AliYun - CVE-2025-43919

Благодарности

Фирдудин Давудзада и Мусазада Айдан ответственно раскрыли эту уязвимость в ходе санкционированного тестирования на проникновение. Спасибо команде MITRE CVE за координацию.

Контакты

Эл. почта: [email protected]