Una falla grave en el demonio SSH incorporado de Erlang/OTP permite que atacantes remotos no autenticados logren ejecución remota de código (RCE) completa enviando mensajes de protocolo de conexión SSH especialmente diseñados antes de que se complete la autenticación.

---

📋 Resumen

CVE-2025-32433 es una vulnerabilidad crítica (CVSS 10.0) que afecta la implementación del servidor SSH en Erlang/OTP.

Los atacantes pueden explotarla enviando mensajes SSH con números ≥ 80 (reservados para después de la autenticación según RFC 4254) durante la fase previa a la autenticación. El servidor no aplica un manejo de estado adecuado, lo que lleva a la ejecución arbitraria de código.

• Descubierta por: Investigadores de la Universidad del Ruhr en Bochum
• Fecha de divulgación: 16 de abril de 2025
• CWE: CWE-306 — Falta de autenticación para función crítica
• Impacto: Compromiso total del sistema (especialmente si el demonio SSH se ejecuta como root o con privilegios elevados)
• Explotación: PoCs públicos disponibles; observada en la naturaleza desde mayo de 2025

---

🛠 Versiones afectadas

Nota: Solo OTP 25, 26 y 27 reciben parches de seguridad oficiales. Las versiones anteriores han llegado al final de su vida útil.

---

🔧 Causa raíz

Según la especificación del protocolo SSH, los mensajes del protocolo de conexión (números de mensaje 80+) deben procesarse solo después de una autenticación de usuario exitosa.

El servidor SSH vulnerable de Erlang/OTP no desconectaba ni ignoraba adecuadamente dichos mensajes en el estado no autenticado, creando una vía para RCE.

Parche oficial: Se agregaron controles de estado estrictos en la lógica de manejo de mensajes.

---

🛡️ Remedios

Solución inmediata

Actualice a una versión parcheada de OTP:

• OTP 27.3.3 o superior
• OTP 26.2.5.11 o superior
• OTP 25.3.2.20 o superior

Luego reconstruya y vuelva a implementar sus aplicaciones Erlang/Elixir.

Aviso oficial de Erlang/OTP:
https://github.com/erlang/otp/security/advisories/GHSA-37cp-fgq5-7wc2

Commits clave del parche:

• https://github.com/erlang/otp/commit/6eef04130afc8b0ccb63c9a0d8650209cf54892f

Soluciones temporales

• Deshabilitar el servidor SSH si no es necesario (:ssh.stop() o eliminar la aplicación ssh)
• Restringir el acceso de red al puerto SSH mediante cortafuegos (permitir solo IPs de confianza)
• Ejecutar el demonio SSH con privilegios mínimos (nunca como root cuando sea posible)

---

🧪 Explotación

Se publicaron pruebas de concepto (PoC) públicas poco después de la divulgación. La explotación es sencilla y no requiere credenciales.

La vulnerabilidad se ha agregado al catálogo CISA KEV y se ha explotado activamente en la naturaleza (especialmente contra redes OT y cortafuegos).

---

📌 ¿Quién está afectado?

Cualquier sistema que ejecute un servidor SSH de Erlang/OTP (ssh.daemon/1, ssh:daemon/2, etc.) es potencialmente vulnerable. Esto incluye:

• Servicios personalizados de Erlang/Elixir
• Equipos de telecomunicaciones y redes
• Dispositivos IoT/OT
• Algunos productos Cisco (consulte su aviso para más detalles)

No afectados: Uso puro de cliente SSH o aplicaciones que no inicien el demonio SSH incorporado.

---

🔍 Referencias y recursos

• Entrada NVD
• Aviso oficial de Erlang/OTP
• Análisis de Unit 42
• Aviso de seguridad de Cisco
• Listado CISA KEV

---

✅ Recomendaciones

• Escanee su infraestructura en busca de servicios SSH de Erlang/OTP expuestos
• Parchee inmediatamente — los exploits públicos están ampliamente disponibles
• Monitoree los puertos SSH en busca de tráfico sospechoso previo a la autenticación
• Siga principios de privilegio mínimo para todos los servicios

Última actualización: Abril de 2026

---

Hecho para la comunidad de seguridad y Erlang ❤️
¡Siéntase libre de marcar con estrella, bifurcar o contribuir con mejoras!