CVE-2025-32433

Introducción

En este documento se presenta una investigación de la vulnerabilidad CVE-2025-32433, que afecta a la implementación del servidor SSH integrado en la plataforma Erlang/OTP.
Esta vulnerabilidad consiste en la posibilidad de ejecución remota de código arbitrario (Remote Code Execution, RCE) sin necesidad de autenticación y afecta a varias ramas de Erlang/OTP hasta la publicación de los parches:

• versiones 27 hasta 27.3.3
• versiones 26 hasta 26.2.5.11
• versiones 25 hasta 25.3.2.20

Erlang/OTP se utiliza ampliamente como base para sistemas distribuidos escalables y forma parte del stack de muchos proyectos conocidos (por ejemplo, mensajeros, brokers de mensajes, servicios web de alta carga).
La presencia de una vulnerabilidad RCE crítica en la biblioteca base de SSH pone en riesgo a la infraestructura que utiliza Erlang/OTP como servidor o como componente con acceso SSH abierto.

Objetivo del informe

Examinar paso a paso la vulnerabilidad y demostrar el ciclo completo de investigación:

1. Recopilación y estructuración de materiales:
   Encontrar y sistematizar los datos disponibles públicamente sobre CVE-2025-32433, describir la esencia y el posible impacto.

2. Determinación de CPE y condiciones de configuración:
   Proporcionar una lista de CPE y condiciones de configuración para las que la vulnerabilidad es relevante.

3. Desarrollo de PoC/Exploit:
   Crear y demostrar un prototipo funcional de explotación en un entorno de pruebas.

4. Metodologías de verificación masiva segura:
   Describir tres formas de comprobar los hosts vulnerables:

   • mediante nuclei en modo activo (daño mínimo durante la explotación);
   • mediante nuclei en modo pasivo (por versiones de software o indicios indirectos);
   • mediante un script propio en Python 3 (o Go) con soporte de multihilo.

---

⚠️ Descargo de responsabilidad

Esta investigación se lleva a cabo exclusivamente con fines educativos y éticos y se ha realizado únicamente en un entorno de pruebas controlado.
El autor no se hace responsable de cualquier uso indebido de la información presentada.
Utilice esta información solo para aprender y mejorar el nivel de seguridad de sus sistemas.

---

Detalles de la vulnerabilidad

Erlang es un lenguaje de programación creado para construir sistemas altamente paralelos y tolerantes a fallos.
Su plataforma Open Telecom Platform (OTP) se ha utilizado durante muchos años en infraestructuras críticas, desde las telecomunicaciones hasta el sector financiero.

Erlang/OTP en la industria

En entornos OT (tecnologías operativas) y en redes 5G, Erlang/OTP se valora por su escalabilidad y su capacidad para garantizar el funcionamiento continuo de los sistemas con un tiempo de inactividad mínimo.
Para la administración remota, estas redes suelen utilizar la implementación integrada de SSH en Erlang/OTP.
Precisamente esto hace que la vulnerabilidad CVE-2025-32433 sea especialmente peligrosa para dichos entornos.

Esencia del problema

La interacción segura en Erlang/OTP está garantizada por su propia implementación de SSH, que:

• gestiona las conexiones cifradas,
• la transferencia de archivos,
• y también — lo que es importante — la ejecución de comandos.

La vulnerabilidad en esta implementación permite a un atacante con acceso a la red ejecutar código arbitrario sin autenticación, lo que supone una amenaza directa para los activos vulnerables.

Alcance de la distribución

Según el escaneo global de Internet (Cortex Xpanse, abril de 2025), los servicios SSH de Erlang/OTP vulnerables están ampliamente disponibles en Internet y no solo se ejecutan en los puertos estándar, sino también, por ejemplo, en el puerto TCP 2222.
Este puerto es utilizado a menudo por componentes obsoletos de automatización industrial y por el protocolo de mensajería implícita Ethernet/IP, lo que amplía el posible vector de ataque.

La vulnerabilidad está relacionada con las versiones de SSH incluidas en los lanzamientos de Erlang/OTP.
La propagación de servicios vulnerables en puertos característicos de diversos sectores conforma una superficie de ataque global significativa.

Sectores más afectados

La telemetría mostró que más del 85 % de los intentos de explotación se registraron en los cortafuegos del segmento OT de los siguientes sectores:

• Sanidad
• Agricultura
• Medios de comunicación y entretenimiento
• Alta tecnología

Al mismo tiempo, a pesar de la alta dependencia de OT, en los sectores:

• servicios públicos,
• energía,
• minería,
• industria aeroespacial y de defensa

no se identificaron factores que favorecieran la propagación activa de esta amenaza en particular.

Particularidades por sectores

• En los ámbitos de servicios profesionales y jurídicos, las detecciones se registraron principalmente en redes de TI.
• En los sectores de fabricación, comercio mayorista y minorista, así como servicios financieros, los ataques se distribuyeron aproximadamente a partes iguales entre los segmentos de TI y OT, lo que exige una protección integral.

Estado de la vulnerabilidad

• Nivel de gravedad: puntuación CVSS 3.1 de 10,0 (crítico) según los criterios de Offsec y Tenable. La complejidad de explotación es baja, no requiere credenciales ni interacción con el usuario.
• Lista KEV: añadida al catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA el 9 de junio de 2025, lo que subraya la necesidad de una corrección urgente.

Productos afectados y condiciones de configuración

Identificadores CPE

CVE-2025-32433 está registrada en la base de datos NVD con los siguientes CPE típicos (Common Platform Enumeration):

• cpe:2.3:a:erlang:otp:25:*:*:*:*:*:*:*
• cpe:2.3:a:erlang:otp:26:*:*:*:*:*:*:*
• cpe:2.3:a:erlang:otp:27:*:*:*:*:*:*:*

Se consideran vulnerables las versiones menores anteriores a las siguientes versiones de parche:

• 25.x — hasta 25.3.2.20 inclusive
• 26.x — hasta 26.2.5.11 inclusive
• 27.x — hasta 27.3.3 inclusive

Condiciones en las que se manifiesta la vulnerabilidad

• En el host debe estar ejecutándose el demonio SSH integrado de Erlang/OTP (ssh:daemon/2), no un openssh externo.
• El puerto SSH (el estándar 22 o uno personalizado, por ejemplo 2222) debe ser accesible para conexiones remotas desde la red del atacante.
• A nivel de configuración no se requieren flags especiales — la vulnerabilidad está relacionada con la lógica del protocolo en el código de Erlang/OTP, no con opciones concretas de ssh:daemon/2.
• La autenticación puede ser cualquiera (por contraseña, por claves, etc.) — el fallo se explota antes de la fase de autenticación.

⚠️ Si Erlang/OTP se utiliza solo como biblioteca cliente sin un servidor SSH activo, o si el servidor está cerrado en una red aislada, la vulnerabilidad no es explotable.

---

Descripción técnica