GNU Mailman 2.1.39に未認証リスト作成の脆弱性CVE-2025-43921、再現性に疑問の声も

公開:2025-04-29

記事の要約

GNU Mailman 2.1.39に、未認証の攻撃者がリストを作成できる脆弱性CVE-2025-43921が存在することが2025年4月20日に発表された。この脆弱性は、cPanel (および WHM) にバンドルされている場合に影響を受ける可能性がある。

問題の脆弱性は、/mailman/createエンドポイントを介して、認証なしにリストが作成できてしまうというものだ。しかし、複数の第三者機関が、cPanelまたはWHMを使用しているかどうかに関わらず、この脆弱性の再現に成功していないと報告している。

Common Weakness Enumeration (CWE)では、この脆弱性はCWE-863「不適切な認証」として分類されている。CVSS (Common Vulnerability Scoring System)のスコアは5.3で、深刻度はMEDIUMと評価されている。

項目	詳細
CVE ID	CVE-2025-43921
発表日	2025年4月20日
更新日	2025年4月28日
対象製品	GNU Mailman 2.1.39 (cPanelおよびWHMにバンドル)
脆弱性の種類	CWE-863 不適切な認証
CVSSスコア	5.3 (MEDIUM)

CWE-863は、ソフトウェアにおける認証の不備に起因する脆弱性の一種を指す。具体的には、以下のような状況が該当する。

CWE-863の脆弱性が悪用されると、攻撃者は本来アクセスできないはずの機能やデータに不正にアクセスできてしまう。その結果、機密情報の漏洩やシステムの改ざんなど、深刻な被害が発生する可能性がある。

GNU Mailman 2.1.39のCVE-2025-43921は、複数の第三者機関が再現性を確認できていないという点で特異な事例だ。もし脆弱性が実際に存在する場合、未認証の攻撃者がメーリングリストを不正に作成し、スパム送信などに利用する可能性がある。

再現性が確認できない理由としては、特定の環境設定や依存関係が影響している可能性が考えられる。今後の対策としては、脆弱性の詳細な分析と、影響を受ける可能性のある環境の特定が重要になるだろう。

また、Mailmanの開発チームは、この問題について詳細な調査を行い、必要に応じて修正パッチをリリースする必要がある。ユーザーは、常に最新のセキュリティ情報を確認し、適切な対策を講じることが重要だ。

CVE.「CVE Record: CVE-2025-43921」.https://www.cve.org/CVERecord?id=CVE-2025-43921, (参照 2025-04-29).