0xblackash/cve-2025-32433CVE-2025-32433
Vulnerabilidade Crítica de Execução Remota de Código Pré-Autenticação
Uma falha grave no daemon SSH integrado do Erlang/OTP permite que atacantes remotos não autenticados obtenham execução remota completa de código (RCE) enviando mensagens de protocolo de conexão SSH adulteradas antes da conclusão da autenticação.
CVE-2025-32433 é uma vulnerabilidade crítica (CVSS 10.0) que afeta a implementação do servidor SSH no Erlang/OTP.
Atacantes podem explorá-la enviando mensagens SSH com números ≥ 80 (reservados para pós-autenticação conforme RFC 4254) durante a fase de pré-autenticação. O servidor não aplica o tratamento adequado de estado, levando à execução arbitrária de código.
| Série OTP | Versões Afetadas | Versão Corrigida |
|---|---|---|
| OTP 27 | ≤ 27.3.2 | 27.3.3 |
| OTP 26 | ≤ 26.2.5.10 | 26.2.5.11 |
| OTP 25 | ≤ 25.3.2.19 | 25.3.2.20 |
| Mais Antigas | Todas as versões de 17.0 a 24.x | Atualização recomendada |
Nota: Apenas OTP 25, 26 e 27 recebem patches de segurança oficiais. Versões mais antigas estão em fim de vida.
De acordo com a especificação do protocolo SSH, as mensagens do protocolo de conexão (números de mensagem 80+) só devem ser processadas após a autenticação bem-sucedida do usuário.
O servidor SSH vulnerável do Erlang/OTP não desconectou ou ignorou adequadamente tais mensagens no estado não autenticado, criando um caminho para RCE.
Patch Oficial: Adicionou verificações rigorosas de estado na lógica de tratamento de mensagens.
Atualize para uma versão corrigida do OTP:
Em seguida, recompile e reimplante suas aplicações Erlang/Elixir.
Comunicado Oficial do Erlang/OTP:
https://github.com/erlang/otp/security/advisories/GHSA-37cp-fgq5-7wc2
Commits de Patch Principais:
:ssh.stop() ou remova a aplicação ssh)Exploits públicos de Prova-de-Conceito foram lançados logo após a divulgação. A exploração é direta e não requer credenciais.
A vulnerabilidade foi adicionada ao catálogo CISA KEV e tem sido ativamente explorada na natureza (especialmente contra redes OT e firewalls).
Qualquer sistema executando um servidor SSH Erlang/OTP (ssh.daemon/1, ssh:daemon/2, etc.) é potencialmente vulnerável. Isso inclui:
Não afetado: Uso puro de cliente SSH ou aplicações que não iniciam o daemon SSH integrado.
Última Atualização: Abril de 2026
Feito para a comunidade de segurança & Erlang ❤️
Sinta-se à vontade para estrelar, bifurcar ou contribuir com melhorias!