CVE-2025-32433: Erlang/OTP SSH Vulnerable to Pre-Authentication RCE
Noroxi değerlendirmesi
Öncelik: Hemen (aksiyon skoru 100/100)
- CISA bu açığın sahada sömürüldüğünü doğruladı (9 Haz 2025). ABD kamu kurumları için kapatma son tarihi 30 Haz 2025.
- Hazır saldırı modülü yayımlanmış (Metasploit, Nuclei); sömürmek özel uzmanlık gerektirmiyor.
- Önümüzdeki 30 günde sömürülme olasılığı %98,9 (FIRST EPSS); kayıtların %99,9 kadarından yüksek.
- İnternetten erişebilen herkes tetikleyebilir. Hesap ya da parola gerekmez. Kullanıcının bir şey yapması gerekmez. Özel bir koşul gerekmez; tekrarlanabilir.
- CISA'ya göre saldırı otomatikleştirilebilir: toplu taramalarla hedef bulunabilir.
- Düzeltilmiş sürüm: azl3 erlang 26.2.5.11-1 on Azure Linux 3.0 26.2.5.11-1; azl3 erlang 26.2.5.9-1 on Azure Linux 3.0 26.2.5.11-1; cbl2 erlang 25.2-3 on CBL Mariner 2.0 25.3.2.20-1.
Bugün yamayın ya da erişimi kapatın. azl3 erlang 26.2.5.11-1 on Azure Linux 3.0 26.2.5.11-1; azl3 erlang 26.2.5.9-1 on Azure Linux 3.0 26.2.5.11-1; cbl2 erlang 25.2-3 on CBL Mariner 2.0 25.3.2.20-1 ya da daha yeni sürüme yükseltin.
Kaydın verisinden otomatik üretilir: CVSS (NVD ve CNA), CISA KEV ve SSVC, FIRST EPSS, istismar kaynakları, düzeltme sürümleri. Nasıl hesaplıyoruz
Birincil kaynaklar: NVD · CVE.org · CISA KEV · FIRST EPSS
Erlang/OTP is a set of libraries for the Erlang programming language. Prior to versions OTP-27.3.3, OTP-26.2.5.11, and OTP-25.3.2.20, a SSH server may allow an attacker to perform unauthenticated remote code execution (RCE). By exploiting a flaw in SSH protocol message handling, a malicious actor could gain unauthorized access to affected systems and execute arbitrary commands without valid credentials. This issue is patched in versions OTP-27.3.3, OTP-26.2.5.11, and OTP-25.3.2.20. A temporary workaround involves disabling the SSH server or to prevent access via firewall rules.
- Yayın
- 16 Nis 2025
- Güncelleme
- 17 Haz 2026
- EPSS
- %98,9 · 99. yüzdelik
- CWE
- CWE-306
Rapor araçları
Aksiyon skoru
100
Bugün yamayın ya da erişimi kapatın.
- CVSS
- 40 / 40 · 10.0 / 10
- CISA KEV
- 30 / 30 · Listede
- EPSS
- 30 / 30 · %98,9
CISA SSVC kararı
- Sömürü
- aktif
- Otomatikleştirilebilir
- evet
- Teknik etki
- tam
Vulnrichment: CISA'nın karar ağacı girdileri.
CNA ile NVD puanı
- NVD
- —
- CNA · GitHub_M
- 10,0
- NVD henüz kendi puanını vermedi; gösterilen puan CNA’nın.
Kaydı açan otoritenin puanı ile NVD’nin bağımsız puanı. İki puan arasındaki fark ciddiyetin tartışmalı olduğunu gösterir.
Sahada aktif sömürülüyor
CISA bu zafiyeti 9 Haz 2025 tarihinde fiilen sömürülen zafiyetler kataloğuna (KEV) ekledi. Bu, teoriyi değil, gerçek saldırıları işaret eder.
ABD federal kurumları için son yama tarihi: 30 Haz 2025.
Bu kayıt değişirse haber alın
- CISA KEV'de: sahada sömürüldüğü doğrulandı
- Silahlaştırılmış istismar var
- Düzeltme yayımlandı
Bunlardan biri değişirse günlük e-posta özetinde haber veririz.
Sürümünüz etkileniyor mu? Kontrol edinNoroxi analizi
Sizin ortamınızda ne anlama geliyor?
Yukarıdaki değerlendirme kaydın verisinden otomatik üretilir; ortamınızı bilmez. Bu açığın sizde gerçekten sömürülebilir olup olmadığını ve hangi önlemin yeteceğini ekibimiz sizin sistemlerinizde doğrular.
Bu ürünü kullanıyoruz, yardım isteyinEtkilenen sistemler
Sürümünüz etkileniyor mu?
Ürünü seçip kullandığınız sürümü yazın. Bu kaydın sürüm aralıklarıyla tarayıcınızda karşılaştırılır; sürüm hiçbir yere gönderilmez.
| Üretici | Ürün | CPE |
|---|---|---|
| erlang | erlang\/otp | cpe:2.3:a:erlang:erlang\/otp |
| cisco | confd basic | cpe:2.3:a:cisco:confd_basic |
| cisco | network services orchestrator | cpe:2.3:a:cisco:network_services_orchestrator |
| cisco | cloud native broadband network gateway | cpe:2.3:a:cisco:cloud_native_broadband_network_gateway |
| cisco | inode manager | cpe:2.3:a:cisco:inode_manager |
| cisco | smart phy | cpe:2.3:a:cisco:smart_phy |
| cisco | ultra packet core | cpe:2.3:a:cisco:ultra_packet_core |
| cisco | ultra services platform | cpe:2.3:a:cisco:ultra_services_platform |
| cisco | staros | cpe:2.3:o:cisco:staros |
| cisco | optical site manager | cpe:2.3:a:cisco:optical_site_manager |
| cisco | ncs 1001 | cpe:2.3:h:cisco:ncs_1001 |
| cisco | ncs 1002 | cpe:2.3:h:cisco:ncs_1002 |
ve 24 kayıt daha
Üreticinin bildirdiği sürümler
Kaydı açan otorite (GitHub_M) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.
erlang otp
- >= OTP-27.0-rc1, < OTP-27.3.3, >= OTP-26.0-rc1, < OTP-26.2.5.11, < OTP-25.3.2.20etkilenir
Etkilenen sürümler · NVD (20)
NVD sürüm aralıkları (katalogdaki ürünler için). Stack’inize sürümle eklerseniz eşleşme bunlarla yapılır.
- cisco cloud native broadband network gateway2025.03.1 öncesi
- cisco confd basic8.3 ve sonrası · 8.3.8.1 öncesi
- cisco confd basic8.4 ve sonrası · 8.4.4.1 öncesi
- cisco confd basic7.7.19.1 öncesi
- cisco confd basic8.0.18 ve sonrası · 8.1.16.2 öncesi
- cisco confd basic8.2 ve sonrası · 8.2.11.1 öncesi
- cisco enterprise nfv infrastructure software4.18 öncesi
- cisco inode managertüm sürümler
- cisco ncs 2000 shelf virtualization orchestrator firmware25.1.1 öncesi
- cisco network services orchestrator6.2 ve sonrası · 6.2.11.1 öncesi
- cisco network services orchestrator5.7.19.1 öncesi
- cisco network services orchestrator5.8 ve sonrası · 6.1.16.2 öncesi
- cisco network services orchestrator6.3 ve sonrası · 6.3.8.1 öncesi
- cisco network services orchestrator6.4 ve sonrası · 6.4.1.1 öncesi
- cisco network services orchestrator6.4.2 ve sonrası · 6.4.4.1 öncesi
- cisco optical site manager25.2.1 öncesi
- cisco rv160 firmwaretüm sürümler
- cisco rv160w firmwaretüm sürümler
- cisco rv260 firmwaretüm sürümler
- cisco rv260p firmwaretüm sürümler
Paket düzeyi etkilenme
OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.
| Ekosistem | Paket | Etkilenen aralık | Düzeltme |
|---|---|---|---|
| Alpine:v3.21 | erlang | 26.2.5.11-r0 öncesi | 26.2.5.11-r0 |
| Debian:11 | erlang | 1:23.2.6+dfsg-1+deb11u2 öncesi | 1:23.2.6+dfsg-1+deb11u2 |
| Debian:12 | erlang | 1:25.2.3+dfsg-1+deb12u1 öncesi | 1:25.2.3+dfsg-1+deb12u1 |
| Debian:13 | erlang | 1:27.3.3+dfsg-1 öncesi | 1:27.3.3+dfsg-1 |
| openSUSE:Leap 15.6 | erlang | 23.3.4.19-150300.3.20.1 öncesi | 23.3.4.19-150300.3.20.1 |
| openSUSE:Leap 15.6 | erlang26 | 26.2.1-150300.7.11.1 öncesi | 26.2.1-150300.7.11.1 |
| SUSE:Linux Enterprise Module for Server Applications 15 SP6 | erlang | 23.3.4.19-150300.3.20.1 öncesi | 23.3.4.19-150300.3.20.1 |
| SUSE:Linux Enterprise Module for Server Applications 15 SP6 | erlang26 | 26.2.1-150300.7.11.1 öncesi | 26.2.1-150300.7.11.1 |
Aynı üründe
erlang: tüm kayıtlarAynı birincil ürünün en yüksek skorlu diğer kayıtları.
- CVE-2017-1000385The Erlang otp TLS server answers with different TLS alerts to different error types in the RSA PKCS #1 1.5 padding.60Bu hafta
- CVE-2022-37026In Erlang/OTP before 23.3.4.15, 24.x before 24.3.4.2, and 25.x before 25.0.2, there is a Client Authentication Bypass in certain…39İzleyin
- CVE-2016-10253An issue was discovered in Erlang/OTP 18.x.39İzleyin
Bu üründe bundan önce ve sonra yayımlananlar
- ← ÖncekiCVE-2020-256232 Eki 2020 · Erlang/OTP 22.3.x before 22.3.4.6 and 23.x before 23.1 allows Directory Traversal.31İzleyin
- ← ÖncekiCVE-2020-3573315 Oca 2021 · An issue was discovered in Erlang/OTP before 23.2.2.30İzleyin
- ← ÖncekiCVE-2021-292219 Nis 2021 · A local privilege escalation vulnerability was discovered in Erlang/OTP prior to version 23.2.3.28İzleyin
Düzeltme
Hangi sürüme geçmeli
Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.
| Ürün / paket | Düzeltilmiş sürüm | Kaynak |
|---|---|---|
| azl3 erlang 26.2.5.11-1 on Azure Linux 3.0 | 26.2.5.11-1 · CBL-Mariner Releases | Microsoft (MSRC) |
| azl3 erlang 26.2.5.9-1 on Azure Linux 3.0 | 26.2.5.11-1 · CBL-Mariner Releases | Microsoft (MSRC) |
| cbl2 erlang 25.2-3 on CBL Mariner 2.0 | 25.3.2.20-1 · CBL-Mariner Releases | Microsoft (MSRC) |
| cbl2 erlang 25.2-3 on CBL-Mariner 2.0 | 25.3.2.20-1 · CBL-Mariner Releases | Microsoft (MSRC) |
| cbl2 erlang 25.3.2.20-1 on CBL Mariner 2.0 | 25.3.2.20-1 · CBL-Mariner Releases | Microsoft (MSRC) |
| alpine:erlang | 26.2.5.11-r0 · Alpine:v3.21 | Paket deposu (OSV) |
| debian:erlang | 1:25.2.3+dfsg-1+deb12u1 · Debian:12 | Paket deposu (OSV) |
| opensuse:erlang | 23.3.4.19-150300.3.20.1 · openSUSE:Leap 15.6 | Paket deposu (OSV) |
| opensuse:erlang26 | 26.2.1-150300.7.11.1 · openSUSE:Leap 15.6 | Paket deposu (OSV) |
| suse:erlang | 23.3.4.19-150300.3.20.1 · SUSE:Linux Enterprise Module for Server Applications 15 SP6 | Paket deposu (OSV) |
| suse:erlang26 | 26.2.1-150300.7.11.1 · SUSE:Linux Enterprise Module for Server Applications 15 SP6 | Paket deposu (OSV) |
İstismar durumu
Silahlaştırılmış
Bu zafiyet için hazır bir istismar aracı ya da sahada aktif kullanım biliniyor. Önceliğiniz en üst düzeyde olmalı.
Kanıt
- Metasploit modülü ×1
- Nuclei tespit şablonu ×1
- GitHub’da kavram kanıtı deposu ×43
Noroxi istismar kodu barındırmaz ve istismar bağlantısı vermez. Metasploit modül adı ve Nuclei şablon kimliği gösterilir (kod değil, ad); Exploit-DB kayıtları ve PoC depoları yalnızca sayı olarak verilir.
| Kaynak | Tür | Tarih |
|---|---|---|
| GitHub’da kavram kanıtı deposu | 43 depo | 2025-04-18 → 2026-11-06 |
| Metasploit modülü | exploit/linux/ssh/ssh_erlangotp_rceErlang OTP Pre-Auth RCE Scanner and Exploitexploit | 2025-04-16 |
| Nuclei tespit şablonu | Nuclei şablonu CVE-2025-32433 | — |
Araştırma bağlamı
Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.
Zaman çizelgesi
Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.
- Metasploit-1 gün
- Yayın
- İlk kavram kanıtı+1 gün
- CISA KEV+53 gün
- Bugün13 Kas 2026+576 gün
FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).
Yama ve commit bağlantıları
Referanslardaki commit, PR ve diff adresleri. Patch-diff ve varyant avı için başlangıç noktası; istismar değil, düzeltmedir.
Bu kayıtta yok: araştırmacı kredisi · varyant ya da zincir adayı · herkese açık ödül programı.
Teknik detay
Saldırı koşulları
- İnternetten erişebilen herkes tetikleyebilir.
- Hesap ya da parola gerekmez.
- Kullanıcının bir şey yapması gerekmez.
- Özel bir koşul gerekmez; tekrarlanabilir.
Başarılı olursa
- Gizlilik
- yüksek · veriler okunabilir
- Bütünlük
- yüksek · veri ya da yapılandırma değiştirilebilir
- Erişilebilirlik
- yüksek · hizmet durdurulabilir
Etki, zafiyetli bileşenin ötesine geçebilir (kapsam değişir).
- Saldırı vektörü
- Ağ
- Karmaşıklık
- Düşük
- Gereken yetki
- Yok
- Kullanıcı etkileşimi
- Gerekmez
- Kapsam
- Değişir
- Gizlilik etkisi
- Yüksek
- Bütünlük etkisi
- Yüksek
- Erişilebilirlik etkisi
- Yüksek
Zayıflık sınıfı (CWE)
CWE-306 · Missing Authentication for Critical FunctionCVSS vektörü
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
nvd-secondary
Kök neden
Geliştirme ya da destek için eklenen bir işlev, üretime kimlik doğrulaması olmadan çıkıyor. Çoğu zaman “yalnızca iç ağdan erişilir” varsayımına güvenilir.
Hatanın kod karşılığı
CWE-306 sınıfının tamamıBu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.
Hatalı
// Destek ekibi için eklendi
app.post("/maintenance/reset", resetDevice);Düzeltilmiş
if (config.maintenanceEnabled) {
app.post(
"/maintenance/reset",
requireSession, requireRole("admin"), resetDevice
);
}Saldırı bağlamı
Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.
Saldırı desenleri (CAPEC)
ATT&CK teknikleri
—
Değişiklik günlüğü (1)
- Düzeltme✗ → ✓
Takip ettiğiniz kayıtlarda bu değişiklikler bildirim olarak da gelir. →
Referanslar
Tüm referansları göster (12 daha)Daha az göster
- github.com/erlang/otp/commit/6eef04130afc8b0ccb63c9a0d8650209cf54892f
- github.com/erlang/otp/commit/b1924d37fd83c070055beb115d5d6a6a9490b891
- github.com/erlang/otp/security/advisories/GHSA-37cp-fgq5-7wc2
- www.openwall.com/lists/oss-security/2025/04/16/2
- www.openwall.com/lists/oss-security/2025/04/18/1
- www.openwall.com/lists/oss-security/2025/04/18/2
- www.openwall.com/lists/oss-security/2025/04/18/6
- www.openwall.com/lists/oss-security/2025/04/19/1
- lists.debian.org/debian-lts-announce/2025/04/msg00028.html
- security.netapp.com/advisory/ntap-20250425-0001/
- sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-erlang-otp-ssh-xyZZy
- www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-32433
Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.