ثغرة خطيرة في خادم SSH المدمج في Erlang/OTP تسمح للمهاجمين غير المصادق عليهم بتحقيق تنفيذ كامل للأكواد عن بُعد (RCE) عن طريق إرسال رسائل بروتوكول اتصال SSH مُعدَّلة قبل اكتمال المصادقة.

---

📋 ملخص

CVE-2025-32433 هي ثغرة حرجة (CVSS 10.0) تؤثر على تطبيق خادم SSH في Erlang/OTP.

يمكن للمهاجمين استغلالها عن طريق إرسال رسائل SSH بأرقام ≥ 80 (وهي محجوزة لما بعد المصادقة وفقًا لـ RFC 4254) خلال مرحلة ما قبل المصادقة. يفشل الخادم في فرض معالجة الحالة الصحيحة، مما يؤدي إلى تنفيذ تعسفي للأكواد.

• اكتشفها: باحثون من جامعة الرور في بوخوم
• تاريخ الإفصاح: 16 أبريل 2025
• CWE: CWE-306 — نقص المصادقة لوظيفة حرجة
• التأثير: اختراق كامل للنظام (خاصة إذا كان خادم SSH يعمل كجذر أو بصلاحيات عالية)
• الاستغلال: براهين إثبات المفهوم (PoCs) متاحة للعموم؛ تم رصد استغلال نشط منذ مايو 2025

---

🛠 الإصدارات المتأثرة

ملاحظة: فقط OTP 25 و 26 و 27 تتلقى تصحيحات أمان رسمية. الإصدارات الأقدم هي منتهية العمر (End-of-Life).

---

🔧 السبب الجذري

وفقًا لمواصفات بروتوكول SSH، يجب معالجة رسائل بروتوكول الاتصال (أرقام الرسائل 80+) فقط بعد المصادقة الناجحة.

خادم SSH القابل للاستغلال في Erlang/OTP لم يفصل أو يتجاهل هذه الرسائل بشكل صحيح في الحالة غير المصادق عليها، مما خلق مسارًا لـ RCE.

التصحيح الرسمي: إضافة فحوصات حالة صارمة في منطق معالجة الرسائل.

---

🛡️ المعالجة

الإصلاح الفوري

قم بالترقية إلى إصدار OTP مصحح:

• OTP 27.3.3 أو أحدث
• OTP 26.2.5.11 أو أحدث
• OTP 25.3.2.20 أو أحدث

ثم أعد بناء ونشر تطبيقات Erlang/Elixir الخاصة بك.

النشرة الرسمية لـ Erlang/OTP:
https://github.com/erlang/otp/security/advisories/GHSA-37cp-fgq5-7wc2

التزامات التصحيح الرئيسية:

• https://github.com/erlang/otp/commit/6eef04130afc8b0ccb63c9a0d8650209cf54892f

الحلول المؤقتة

• تعطيل خادم SSH إذا لم يكن مطلوبًا (:ssh.stop() أو إزالة تطبيق ssh)
• تقييد الوصول إلى منفذ SSH باستخدام جدران الحماية (السماح فقط بعناوين IP موثوقة)
• تشغيل خفي SSH بأقل الصلاحيات (لا تعمل كجذر أبدًا عند الإمكان)

---

🧪 الاستغلال

تم إصدار براهين إثبات المفهوم (PoCs) العامة بعد الإفصاح مباشرة. الاستغلال واضح ولا يتطلب بيانات اعتماد.

تمت إضافة الثغرة إلى كتالوج CISA KEV وتم استغلالها بنشاط في العالم الحقيقي (خاصة ضد شبكات OT وجدران الحماية).

---

📌 من المتأثر؟

أي نظام يشغل خادم SSH الخاص بـ Erlang/OTP (ssh.daemon/1, ssh:daemon/2، إلخ) يحتمل أن يكون عرضة للخطر. يشمل ذلك:

• خدمات Erlang/Elixir المخصصة
• معدات الاتصالات والشبكات
• أجهزة IoT/OT
• بعض منتجات Cisco (راجع نشرتهم للتفاصيل)

غير متأثر: استخدام SSH العميل البحت أو التطبيقات التي لا تشغل خادم SSH المدمج.

---

🔍 مراجع وموارد

• إدخال NVD
• النشرة الرسمية لـ Erlang/OTP
• تحليل Unit 42
• نشرة Cisco الأمنية
• قائمة CISA KEV

---

✅ توصيات

• امسح بنيتك التحتية بحثًا عن خدمات SSH الخاصة بـ Erlang/OTP المكشوفة
• قم بالتصحيح فورًا — الثغرات الاستغلالية العامة متاحة على نطاق واسع
• راقب منافذ SSH بحثًا عن حركة مرور مشبوهة قبل المصادقة
• اتبع مبادئ أقل الصلاحيات لجميع الخدمات

آخر تحديث: أبريل 2026

---

معد لمجتمع الأمن و Erlang ❤️
لا تتردد في وضع نجمة أو عمل fork أو المساهمة بالتحسينات!