CVE-2025-32433 Erlang — эксплойт и детали уязвимости CRITICAL

Параметр	Значение
CVSS	10,0 (CRITICAL)
Уязвимые версии	26.0 — 8.4.4.1
Устранено в версии	25.3.2.20
Тип уязвимости	CWE-306 (Отсутствие аутентификации)
Поставщик	Erlang
Публичный эксплойт	Да

Erlang/OTP — это набор библиотек для языка программирования Erlang. До версий OTP-27.3.3, OTP-26.2.5.11 и OTP-25.3.2.20 SSH-сервер мог позволить злоумышленнику выполнить удаленное выполнение кода (RCE) без проверки подлинности. Воспользовавшись уязвимостью в обработке сообщений протокола SSH, злоумышленник может получить несанкционированный доступ к затронутым системам и выполнить произвольные команды без действительных учетных данных.

Эта проблема исправлена в версиях OTP-27.3.3, OTP-26.2.5.11 и OTP-25.3.2.20. Временное решение включает в себя отключение SSH-сервера или запрет доступа с помощью правил брандмауэра.

Показать оригинальное описание (EN)

Erlang/OTP is a set of libraries for the Erlang programming language. Prior to versions OTP-27.3.3, OTP-26.2.5.11, and OTP-25.3.2.20, a SSH server may allow an attacker to perform unauthenticated remote code execution (RCE). By exploiting a flaw in SSH protocol message handling, a malicious actor could gain unauthorized access to affected systems and execute arbitrary commands without valid credentials. This issue is patched in versions OTP-27.3.3, OTP-26.2.5.11, and OTP-25.3.2.20. A temporary workaround involves disabling the SSH server or to prevent access via firewall rules.

Характеристики атаки

Способ атаки

По сети

Атака возможна удалённо

Сложность

Низкая

Легко эксплуатировать

Нужны права

Не требуются

Права не нужны

Участие пользователя

Не требуется

Не нужно действие пользователя

Последствия

Конфиденциальность

Высокое

Полная утечка данных

Целостность

Высокое

Полная модификация данных

Доступность

Высокое

Полный отказ в обслуживании

Строка CVSS v3.1

Тип уязвимости (CWE)

CWE-306 Missing Authentication for Critical Function (Отсутствие аутентификации)

Уязвимые продукты 47

Конфигурация	От (включительно)	До (исключительно)
Erlang Erlang\/Otp cpe:2.3:a:erlang:erlang\/otp::::::::	—	`25.3.2.20`
Erlang Erlang\/Otp cpe:2.3:a:erlang:erlang\/otp::::::::	`26.0`	`26.2.5.11`
Erlang Erlang\/Otp cpe:2.3:a:erlang:erlang\/otp::::::::	`27.0`	`27.3.3`
Cisco Confd_Basic cpe:2.3:a:cisco:confd_basic::::::::	—	`7.7.19.1`
Cisco Confd_Basic cpe:2.3:a:cisco:confd_basic::::::::	`8.0.18`	`8.1.16.2`
Cisco Confd_Basic cpe:2.3:a:cisco:confd_basic::::::::	`8.2`	`8.2.11.1`
Cisco Confd_Basic cpe:2.3:a:cisco:confd_basic::::::::	`8.3`	`8.3.8.1`
Cisco Confd_Basic cpe:2.3:a:cisco:confd_basic::::::::	`8.4`	`8.4.4.1`
Cisco Network_Services_Orchestrator cpe:2.3:a:cisco:network_services_orchestrator::::::::	—	`5.7.19.1`
Cisco Network_Services_Orchestrator cpe:2.3:a:cisco:network_services_orchestrator::::::::	`5.8`	`6.1.16.2`
Cisco Network_Services_Orchestrator cpe:2.3:a:cisco:network_services_orchestrator::::::::	`6.2`	`6.2.11.1`
Cisco Network_Services_Orchestrator cpe:2.3:a:cisco:network_services_orchestrator::::::::	`6.3`	`6.3.8.1`
Cisco Network_Services_Orchestrator cpe:2.3:a:cisco:network_services_orchestrator::::::::	`6.4`	`6.4.1.1`
Cisco Network_Services_Orchestrator cpe:2.3:a:cisco:network_services_orchestrator::::::::	`6.4.2`	`6.4.4.1`
Cisco Cloud_Native_Broadband_Network_Gateway cpe:2.3:a:cisco:cloud_native_broadband_network_gateway::::::::	—	`2025.03.1`
Cisco Inode_Manager cpe:2.3:a:cisco:inode_manager:-:::::::*	—	—
Cisco Smart_Phy cpe:2.3:a:cisco:smart_phy::::::::	—	`25.2`
Cisco Ultra_Packet_Core cpe:2.3:a:cisco:ultra_packet_core::::::::	—	`2025.03`
Cisco Ultra_Services_Platform cpe:2.3:a:cisco:ultra_services_platform:-:::::::*	—	—
Cisco Staros cpe:2.3:o:cisco:staros::::::::	—	`2025.03`
Cisco Optical_Site_Manager cpe:2.3:a:cisco:optical_site_manager::::::::	—	`25.2.1`
Cisco Ncs_1001 cpe:2.3:h:cisco:ncs_1001:-:::::::*	—	—
Cisco Ncs_1002 cpe:2.3:h:cisco:ncs_1002:-:::::::*	—	—
Cisco Ncs_1004 cpe:2.3:h:cisco:ncs_1004:-:::::::*	—	—
Cisco Ncs_2000_Shelf_Virtualization_Orchestrator_Firmware cpe:2.3:o:cisco:ncs_2000_shelf_virtualization_orchestrator_firmware::::::::	—	`25.1.1`
Cisco Ncs_2000_Shelf_Virtualization_Orchestrator_Module cpe:2.3:h:cisco:ncs_2000_shelf_virtualization_orchestrator_module:-:::::::*	—	—
Cisco Enterprise_Nfv_Infrastructure_Software cpe:2.3:a:cisco:enterprise_nfv_infrastructure_software::::::::	—	`4.18`
Cisco Ultra_Cloud_Core cpe:2.3:a:cisco:ultra_cloud_core::::::::	—	`2025.03.1`
Cisco Rv160w_Firmware cpe:2.3:o:cisco:rv160w_firmware:-:::::::*	—	—
Cisco Rv160w cpe:2.3:h:cisco:rv160w:-:::::::*	—	—
Cisco Rv260_Firmware cpe:2.3:o:cisco:rv260_firmware:-:::::::*	—	—
Cisco Rv260 cpe:2.3:h:cisco:rv260:-:::::::*	—	—
Cisco Rv160_Firmware cpe:2.3:o:cisco:rv160_firmware:-:::::::*	—	—
Cisco Rv160 cpe:2.3:h:cisco:rv160:-:::::::*	—	—
Cisco Rv260p_Firmware cpe:2.3:o:cisco:rv260p_firmware:-:::::::*	—	—
Cisco Rv260p cpe:2.3:h:cisco:rv260p:-:::::::*	—	—
Cisco Rv260w_Firmware cpe:2.3:o:cisco:rv260w_firmware:-:::::::*	—	—
Cisco Rv260w cpe:2.3:h:cisco:rv260w:-:::::::*	—	—
Cisco Rv340_Firmware cpe:2.3:o:cisco:rv340_firmware:-:::::::*	—	—
Cisco Rv340 cpe:2.3:h:cisco:rv340:-:::::::*	—	—
Cisco Rv340w_Firmware cpe:2.3:o:cisco:rv340w_firmware:-:::::::*	—	—
Cisco Rv340w cpe:2.3:h:cisco:rv340w:-:::::::*	—	—
Cisco Rv345_Firmware cpe:2.3:o:cisco:rv345_firmware:-:::::::*	—	—
Cisco Rv345 cpe:2.3:h:cisco:rv345:-:::::::*	—	—
Cisco Rv345p_Firmware cpe:2.3:o:cisco:rv345p_firmware:-:::::::*	—	—
Cisco Rv345p cpe:2.3:h:cisco:rv345p:-:::::::*	—	—
Debian Debian_Linux cpe:2.3:o:debian:debian_linux:11.0:::::::*	—	—