CVE-2025-43921: GNU Mailman 2.1.39（cPanel/WHM 捆绑包）中未经身份验证的邮件列表创建

发现者： Firudin Davudzada & Musazada Aydan
披露日期： 2025年4月
CVE ID： CVE-2025-43921
严重性： 5.3 中等 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N)
攻击类型： 远程
受影响软件： GNU Mailman 2.1.39（与 cPanel/WHM 捆绑）

概述

与 cPanel 和 WHM 捆绑的 GNU Mailman 2.1.39 存在一个认证绕过缺陷，允许未经身份验证的攻击者通过 /mailman/create 端点创建邮件列表。问题源于 create CGI 脚本中缺少访问控制，使攻击者能够滥用邮件系统进行垃圾邮件、钓鱼或资源耗尽攻击。

该漏洞与 Mailman 中历史上的访问控制问题（如 Postorius 中列表管理权限不当）一致。它可与 CVE-2025-43920 链式利用以扩大影响，为更广泛的攻击创建平台。

漏洞详情

漏洞类型： 认证绕过 / 访问控制配置错误
厂商： GNU Mailman (https://www.gnu.org/software/mailman/)
受影响版本： Mailman 2.1.39；可能影响较旧的 2.1.x 版本（待回归测试）
受影响组件：
- create CGI 脚本（处理列表创建请求）
- Mailman/Handlers/（列表管理逻辑）
根本原因： 对 /mailman/create 的 POST 请求缺少认证检查，允许任意列表创建。
状态： 暂无官方修复。Mailman 2.1.x 已终止生命周期 (EOL)；强烈建议迁移至 Mailman 3.x。

概念验证

以下命令创建名为 hacked 的邮件列表：

curl http://target/mailman/create -d "listname=hacked&[email protected]&password=1234&confirm=1234"

预期结果： 创建一个新的邮件列表，由攻击者指定的所有者邮箱控制。

攻击向量

主要向量： 向 /mailman/create 发送未经身份验证的 HTTP POST 请求，并附带精心构造的参数以创建邮件列表。
利用场景：
- 为垃圾邮件或钓鱼活动创建未授权列表。
- 通过创建大量列表使服务器资源过载。
- 与 CVE-2025-43920 结合，通过构造的列表配置执行命令。
利用难度： 高，因为该端点默认公开可访问。

安全影响

信息泄露： 中等（创建后可访问列表元数据或订阅者数据）。
代码执行： 可能（若与 CVE-2025-43920 链式利用）。
权限提升： 中等（对邮件列表的未授权控制）。
拒绝服务： 中等（大量列表创建导致资源耗尽）。

缓解措施

立即行动

阻止端点访问： 配置 Web 服务器限制对 /mailman/create 的访问：

location /mailman/create {
    deny all;
    return 403;
}

或对于 Apache：

<Location "/mailman/create">
    Deny from all
</Location>

监控日志： 检查未经授权的列表创建尝试：
```
tail -f /var/log/mailman/* | grep "newlist"
```

长期解决方案

升级至 Mailman 3.x： 迁移至 Mailman 3.x，它强制要求对列表创建进行认证。
禁用列表创建： 若不需要，在 Mailman 设置中禁用基于 Web 的列表创建。
实施速率限制： 对 /mailman/create 应用速率限制以防止滥用。
历史背景： Mailman 中的访问控制问题（如 Postorius 中的问题）通过加强权限来解决。对于已终止生命周期的系统，升级至 Mailman 3.x 至关重要。

时间线

2025 年第一季度： 在授权渗透测试评估中发现漏洞。
2025 年第一季度： 报告给 GNU Mailman 和 cPanel 维护者。
2025 年 4 月： MITRE 分配 CVE。
2025 年 4 月： 通过此仓库公开发布。

参考

致谢

Firudin Davudzada 和 Musazada Aydan 在授权的渗透测试过程中负责任地披露了此漏洞。感谢 MITRE CVE 团队的协调工作。

联系方式

邮箱： [email protected]\

CVE-2025-43921

最受欢迎