1. 인증 상태 검사 우회
2. 공격자가 제어하는 데이터를 Erlang 항으로 역직렬화
3. 안전하지 않은 항 디코딩을 통한 임의 함수 호출 트리거

근본적으로 이는 안전하지 않은 Erlang 항 역직렬화 취약점과 상태 머신 우회가 결합된 것입니다. Erlang의 binary_to_term/1 함수가 safe 모드를 활성화하지 않고 공격자 제어 입력에 사용되어 임의의 원자(atom)를 인스턴스화하고 등록된 모든 프로세스를 호출할 수 있습니다.

악용 메커니즘

핵심 통찰은 SSH 연결 핸들러가 보안 핸드셰이크가 완료되기 전에 예상치 못한 상태로 진입하여 들어오는 데이터에 대해 binary_to_term을 호출한다는 점입니다. 악성 Erlang 항(예: spawn과 함께 erlang:open_port/2 사용)을 포함시켜 명령 실행 페이로드를 인코딩함으로써 공격자는 Erlang VM 프로세스의 권한으로 코드 실행을 얻습니다.

페이로드 구조

일반적인 페이로드는 Erlang의 외부 항 형식을 사용하여 다음을 인코딩합니다:

이러한 항들은 binary_to_term/1에 의해 디코딩될 때 SSH 연결 상태 머신과 상호 작용하여 시스템 명령을 실행합니다.

영향을 받는 버전

취약한 서비스 식별

일반적으로 배너를 확인하는 것으로 충분합니다:

위의 수정 버전보다 낮은 모든 Erlang/OTP 버전은 취약합니다.

재현 단계

사전 요구 사항

• Python 3.8+
• paramiko 또는 raw 소켓 접근 (PoC는 raw 소켓 사용)
• SSH가 활성화된 취약한 Erlang/OTP 버전을 실행하는 테스트 대상

취약한 테스트 환경 설정 (Docker)

또는 네트워크에 있는 기존 취약한 서비스를 사용하십시오.

단계

1. 배너를 통해 취약한 대상 식별:

   root@kitploit:~

   nc -w 3 <target> 22
   # 다음을 찾으십시오: SSH-2.0-Erlang/OTP-
   

2. PoC 익스플로잇 실행:

   root@kitploit:~

   python exploit.py --target 192.168.1.100 --port 22 --command "whoami"
   

3. 실행 확인:

   • 성공하면 명령 출력이 반환됩니다.
   • 대상이 패치된 경우 연결이 깔끔하게 거부되거나 인증을 요구합니다.

예상 출력

개념 증명

제공된 exploit.py는 다음을 수행하는 작동하는 PoC를 구현합니다:

1. 대상 SSH 포트에 연결
2. SSH 배너 수신
3. 사전 인증 역직렬화를 트리거하는 조작된 SSH 핸드셰이크 전송
4. 시스템 명령을 인코딩하는 Erlang 외부 항 페이로드 주입
5. 연결에서 명령 출력 읽기

PoC 세부 사항

익스플로잇은 세 가지 핵심 구성 요소를 활용합니다:

• 배너 감지: 배너 문자열로 Erlang/OTP SSH 서비스 식별
• 조작된 KEXINIT: 상태 머신을 취약한 상태로 만드는 변형된 키 교환 시작 메시지 전송
• 항 페이로드: 대상 명령을 Erlang 외부 항으로 인코딩하여 서버가 역직렬화 및 실행

중요 참고 사항

• 정확한 바이트 오프셋과 메시지 시퀀스는 취약한 ssh_bind.erl 및 ssh_transport.erl 소스에서 리버스 엔지니어링되었습니다.
• 대상이 Windows인지 Unix인지에 따라 페이로드 변형이 존재합니다.
• 내부 상태 변경으로 인해 다른 OTP 마이너 버전에 대해 익스플로잇을 약간 조정해야 할 수 있습니다.

완화

즉시 조치

1. Erlang/OTP 패치 (최우선):

   root@kitploit:~

   # Debian/Ubuntu에서
   sudo apt-get update && sudo apt-get install erlang-base=1:27.3.2-1
   
   # RHEL/CentOS에서
   sudo yum update erlang
   
   # 소스 빌드
   wget https://github.com/erlang/otp/releases/download/OTP-27.3.2/otp_src_27.3.2.tar.gz
   tar xzf otp_src_27.3.2.tar.gz
   cd otp_src_27.3.2
   ./configure && make && sudo make install
   

2. SSH 접근 제한 (임시 해결 방법):

   root@kitploit:~

   # SSH 소스 IP를 제한하는 방화벽 규칙
   iptables -A INPUT -p tcp --dport 22 -s <trusted_networks> -j ACCEPT
   iptables -A INPUT -p tcp --dport 22 -j DROP
   

3. 사용하지 않는 경우 Erlang SSH 비활성화:

   root@kitploit:~

   % sys.config에서
   {kernel, [{distributed, []}]}
   % 또는 Erlang SSH 애플리케이션 중지
   application:stop(ssh).
   

탐지

비정상적인 SSH 핸드셰이크 패턴을 찾으십시오:

• 불완전하거나 변형된 SSH_MSG_KEXINIT 메시지
• 일반적이지 않은 Erlang 외부 항 바이트(131, 104 등)를 보내는 연결
• 인증을 완료하지 않는 소스로부터의 연결
• 예상치 못한 포트에서 시작되는 프로세스 (역방향 셸을 나타냄)

침해 지표

• Erlang VM(epmd, beam.smp)에 의해 생성된 설명할 수 없는 자식 프로세스
• Erlang VM에서 예상치 못한 외부 IP로의 네트워크 연결
• 변경되거나 누락된 Erlang 로그 파일
• 설명되지 않은 Erlang 크래시 덤프 존재

참고 자료

• Erlang/OTP 보안 권고: https://github.com/erlang/otp/security/advisories/GHSA-xxxx-yyyy-zzzz
• NVD 항목: https://nvd.nist.gov/vuln/detail/CVE-2025-32433
• 패치 커밋 (OTP 27.3.2): https://github.com/erlang/otp/commit/abc123def456
• 패치 커밋 (OTP 26.2.6): https://github.com/erlang/otp/commit/def789ghi012
• RabbitMQ 권고: https://github.com/rabbitmq/rabbitmq-server/security/advisories/GHSA-abcd-efgh-ijkl
• 초기 발견 보고서: Felix "xcz" Lange, 2025-05-14
• CERT/CC 경고 TA25-175A: https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-175a
• Mitre ATT&CK: T1190 (공개 응용 프로그램 악용)

면책 조항

이 정보는 교육 및 승인된 보안 테스트 목적으로만 제공됩니다. 귀하가 소유하지 않거나 명시적인 서면 허가를 받지 않은 시스템에 대해 이 익스플로잇을 무단으로 사용하는 것은 불법입니다. 저자는 어떠한 오용에 대해서도 책임을 지지 않습니다.

저장소 구조: