CVE-2025-32433

Einleitung

Dieses Dokument stellt die Untersuchung der Schwachstelle CVE-2025-32433 dar, die die Implementierung des integrierten SSH-Servers in der Plattform Erlang/OTP betrifft.
Diese Schwachstelle ermöglicht die Remote-Ausführung von beliebigem Code (Remote Code Execution, RCE) ohne Authentifizierung und betrifft mehrere Erlang/OTP-Zweige vor der Veröffentlichung von Patches:

• Versionen 27 bis 27.3.3
• Versionen 26 bis 26.2.5.11
• Versionen 25 bis 25.3.2.20

Erlang/OTP wird häufig als Grundlage für skalierbare verteilte Systeme verwendet und ist Bestandteil des Stacks vieler bekannter Projekte (z. B. Messenger, Nachrichtenbroker, hochbelastete Webdienste).
Das Vorhandensein einer kritischen RCE-Sicherheitslücke in der SSH-Basisschicht gefährdet die Infrastruktur, die Erlang/OTP als Server oder Komponente mit offenem SSH-Zugang verwendet.

Ziel des Berichts

Schrittweise Untersuchung der Schwachstelle und Demonstration des vollständigen Forschungszyklus:

1. Sammlung und Strukturierung von Materialien:
   Öffentlich verfügbare Daten zu CVE-2025-32433 finden und systematisieren, Wesen und mögliche Auswirkungen beschreiben.

2. Bestimmung von CPE- und Konfigurationsbedingungen:
   Liste der CPE- und Konfigurationsbedingungen angeben, für die die Schwachstelle relevant ist.

3. Entwicklung von PoC/Exploit:
   Einen funktionsfähigen Prototypen erstellen und in einer Testumgebung demonstrieren.

4. Methoden für sichere Massenprüfungen:
   Drei Möglichkeiten zur Überprüfung anfälliger Hosts beschreiben:

   • mit nuclei im aktiven Modus (minimale Schädigung bei Ausnutzung);
   • mit nuclei im passiven Modus (anhand von Softwareversionen oder indirekten Merkmalen);
   • mit einem eigenen Skript in Python 3 (oder Go) mit Multi-Threading-Unterstützung.

---

⚠️ Haftungsausschluss

Diese Untersuchung dient ausschließlich Bildungs- und ethischen Zwecken und wurde nur in einer kontrollierten Testumgebung durchgeführt.
Der Autor übernimmt keine Verantwortung für eine missbräuchliche Verwendung der dargestellten Informationen.
Verwenden Sie diese Informationen nur zum Lernen und zur Verbesserung der Sicherheit Ihrer Systeme.

---

Details zur Schwachstelle

Erlang ist eine Programmiersprache, die für den Aufbau hochparalleler und fehlertoleranter Systeme entwickelt wurde.
Ihre Plattform Open Telecom Platform (OTP) wird seit vielen Jahren in kritischen Infrastrukturen eingesetzt – von der Telekommunikation bis zum Finanzsektor.

Erlang/OTP in der Industrie

In OT-Umgebungen (Operationstechnologie) und 5G-Netzwerken wird Erlang/OTP für seine Skalierbarkeit und die Fähigkeit geschätzt, Systeme mit minimalen Ausfallzeiten kontinuierlich zu betreiben.
Für die Fernverwaltung nutzen solche Netzwerke häufig die integrierte SSH-Implementierung in Erlang/OTP.
Genau das macht die Schwachstelle CVE-2025-32433 für solche Umgebungen besonders gefährlich.

Kern des Problems

Die sichere Interaktion in Erlang/OTP wird durch eine eigene SSH-Implementierung gewährleistet, die:

• für verschlüsselte Verbindungen zuständig ist,
• Dateiübertragungen durchführt,
• und – was wichtig ist – für die Ausführung von Befehlen.

Die Sicherheitslücke in dieser Implementierung ermöglicht es einem Angreifer mit Netzwerkzugriff, beliebigen Code ohne Authentifizierung auszuführen, was eine direkte Bedrohung für anfällige Assets darstellt.

Verbreitung

Nach globalen Internet-Scans (Cortex Xpanse, April 2025) sind anfällige Erlang/OTP SSH-Dienste im Internet weit verbreitet und laufen nicht nur auf Standard-Ports, sondern z. B. auch auf TCP-Port 2222.
Dieser Port wird häufig von veralteten Komponenten der industriellen Automatisierung und dem EtherNet/IP-Protokoll zur impliziten Nachrichtenübertragung verwendet, was die mögliche Angriffsvektoren erweitert.

Die Schwachstelle betrifft SSH-Versionen, die in Erlang/OTP-Releases enthalten sind.
Die Verbreitung anfälliger Dienste auf ports, die für verschiedene Branchen typisch sind, bildet eine erhebliche globale Angriffsfläche.

Am stärksten betroffene Branchen

Telemetriedaten zeigten, dass über 85 % der Ausnutzungsversuche auf Firewalls im OT-Segment der folgenden Bereiche erfasst wurden:

• Gesundheitswesen
• Landwirtschaft
• Medien und Unterhaltungsindustrie
• Hochtechnologie

Gleichzeitig wurden trotz hoher Abhängigkeit von OT in den Sektoren:

• Versorgungsunternehmen,
• Energie,
• Bergbau,
• Luft- und Raumfahrt sowie Verteidigungsindustrie

keine Faktoren identifiziert, die eine aktive Verbreitung dieser speziellen Bedrohung begünstigen würden.

Branchenspezifische Besonderheiten

• In den Bereichen professionelle und juristische Dienstleistungen wurden Auslöser hauptsächlich in IT-Netzwerken registriert.
• In den Branchen Produktion, Groß- und Einzelhandel sowie Finanzdienstleistungen verteilten sich die Angriffe etwa gleichmäßig auf IT- und OT-Segmente, was eine umfassende Schutzstrategie erfordert.

Status der Schwachstelle

• Schweregrad: CVSS 3.1 Bewertung 10,0 (kritisch) nach Offsec- und Tenable-Kriterien. Die Ausnutzung ist einfach, erfordert keine Anmeldeinformationen oder Benutzerinteraktion.
• KEV-Liste: Am 9. Juni 2025 in den Katalog bekannter ausgenutzter Sicherheitslücken (KEV) der CISA aufgenommen, was die Notwendigkeit einer dringenden Behebung unterstreicht.

Betroffene Produkte und Konfigurationsbedingungen

CPE-Identifikatoren

CVE-2025-32433 ist in der NVD-Datenbank mit den folgenden typischen CPEs (Common Platform Enumeration) registriert:

• cpe:2.3:a:erlang:otp:25:*:*:*:*:*:*:*
• cpe:2.3:a:erlang:otp:26:*:*:*:*:*:*:*
• cpe:2.3:a:erlang:otp:27:*:*:*:*:*:*:*

Als anfällig gelten Minor-Releases unterhalb der folgenden Patch-Versionen:

• 25.x – bis einschließlich 25.3.2.20
• 26.x – bis einschließlich 26.2.5.11
• 27.x – bis einschließlich 27.3.3

Bedingungen, unter denen die Schwachstelle auftritt

• Auf dem Host muss der integrierte SSH-Daemon von Erlang/OTP (ssh:daemon/2) ausgeführt werden, nicht ein externer openssh.
• Der SSH-Port (Standard 22 oder benutzerdefiniert, z. B. 2222) muss für Remote-Verbindungen aus dem Netzwerk des Angreifers erreichbar sein.
• Auf Konfigurationsebene sind keine speziellen Flags erforderlich – die Schwachstelle hängt mit der Protokolllogik im Erlang/OTP-Code zusammen, nicht mit bestimmten Optionen von ssh:daemon/2.
• Die Authentifizierung kann beliebig sein (Passwort, Schlüssel usw.) – der Fehler wird vor der Authentifizierungsphase ausgenutzt.

⚠️ Wenn Erlang/OTP nur als Client-Bibliothek ohne laufenden SSH-Server verwendet wird oder wenn der Server in einem isolierten Netzwerk abgeschottet ist, ist die Schwachstelle nicht erreichbar.

---

Technische Übersicht

Die Schwachstelle entsteht dadurch, dass der integrierte SSH-Server Erlang/OTP den Vorauthentifizierungsprozess falsch behandelt.
Eine Schlüsselrolle spielen zwei Arten von Nachrichten des Verbindungsprotokolls – SSH_MSG_CHANNEL_OPEN und SSH_MSG_CHANNEL_REQUEST.
Gemäß dem Standard RFC 4254 sollten solche Nachrichten nur nach erfolgreicher Authentifizierung des Benutzers akzeptiert werden.
Jeder Versuch, sie früher zu senden, sollte sofort zur Trennung der Verbindung führen.
Im Fall von CVE-2025-32433 erzwingt der SSH-Daemon diese Regel nicht, sodass ein Angreifer einen Sitzungskanal öffnen und eine exec-Anfrage mit einem beliebigen Befehl ohne Angabe gültiger Anmeldeinformationen senden kann.
Mit anderen Worten, dies führt zu einer nicht authentifizierten Remote-Code-Ausführung (RCE) – der Angreifer kann die Kontrolle über den Server übernehmen, ohne Benutzername, Passwort oder Schlüssel zu kennen.