0xblackash/cve-2025-32433CVE-2025-32433
Kritische Remote-Codeausführung vor der Authentifizierung
Ein schwerwiegender Fehler im integrierten SSH-Daemon von Erlang/OTP ermöglicht nicht authentifizierten entfernten Angreifern die vollständige Remote-Codeausführung (RCE), indem sie vor Abschluss der Authentifizierung manipulierte SSH-Verbindungsprotokollnachrichten senden.
CVE-2025-32433 ist eine kritische Schwachstelle (CVSS 10.0), die die SSH-Server-Implementierung in Erlang/OTP betrifft.
Angreifer können sie ausnutzen, indem sie während der Vorauthentifizierungsphase SSH-Nachrichten mit Nummern ≥ 80 (laut RFC 4254 für die Zeit nach der Authentifizierung reserviert) senden. Der Server setzt keine ordnungsgemäße Zustandsverwaltung durch, was zu beliebiger Codeausführung führt.
| OTP-Serie | Betroffene Versionen | Korrigierte Version |
|---|---|---|
| OTP 27 | ≤ 27.3.2 | 27.3.3 |
| OTP 26 | ≤ 26.2.5.10 | 26.2.5.11 |
| OTP 25 | ≤ 25.3.2.19 | 25.3.2.20 |
| Ältere | Alle Versionen von 17.0 bis 24.x | Upgrade empfohlen |
Hinweis: Nur OTP 25, 26 und 27 erhalten offizielle Sicherheitspatches. Ältere Versionen sind nicht mehr unterstützt.
Gemäß der SSH-Protokollspezifikation dürfen Verbindungsprotokollnachrichten (Nachrichtennummern 80+) erst nach erfolgreicher Benutzerauthentifizierung verarbeitet werden.
Der anfällige Erlang/OTP SSH-Server hat solche Nachrichten im nicht authentifizierten Zustand nicht ordnungsgemäß getrennt oder ignoriert, was einen Pfad zur RCE ermöglichte.
Offizieller Patch: Strenge Zustandsprüfungen in der Nachrichtenverarbeitungslogik hinzugefügt.
Upgrade auf eine gepatchte OTP-Version:
Anschließend Ihre Erlang/Elixir-Anwendungen neu erstellen und bereitstellen.
Offizielles Erlang/OTP Advisory: https://github.com/erlang/otp/security/advisories/GHSA-37cp-fgq5-7wc2
Wichtige Patch-Commits:
:ssh.stop() oder ssh-Anwendung entfernen)Öffentliche Proof-of-Concept-Exploits wurden kurz nach der Offenlegung veröffentlicht. Die Ausnutzung ist einfach und erfordert keine Anmeldeinformationen.
Die Schwachstelle wurde in den CISA KEV-Katalog aufgenommen und wird aktiv in freier Wildbahn ausgenutzt (insbesondere gegen OT-Netzwerke und Firewalls).
Jedes System, das einen Erlang/OTP SSH-Server (ssh.daemon/1, ssh:daemon/2 usw.) ausführt, ist potenziell anfällig. Dies umfasst:
Nicht betroffen: Reine SSH-Client-Nutzung oder Anwendungen, die keinen integrierten SSH-Daemon starten.
Zuletzt aktualisiert: April 2026
Erstellt für die Sicherheits- & Erlang-Community ❤️
Gerne starren, forken oder Verbesserungen beitragen!