I bibliotekerne ssh, som indgår i Erlang/OTP-værktøjsættet, er der opdaget en sårbarhed (CVE-2025-32433), der muliggør fjernudførelse af kode på en SSH-server uden autentificering, hvis den er opbygget ved hjælp af den sårbare biblioteksversion. Problemet er vurderet til en kritisk faregrad (10 ud af 10).
En af sikkerhedsresearcherne har allerede forberedt en fungerende exploit til at udføre kode på sårbare SSH-servere. Bemærkelsesværdigt er, at ifølge forskeren blev koden udviklet ved hjælp af AI-assistenterne GPT-4, Cursor og Sonnet baseret på analysen af ændringerne med rettelsen af sårbarheden, som inkluderer en test for at kontrollere, at problemet er løst.
Biblioteket fra projektet Erlang/OTP tilbyder klar til brug implementationer af klient og server SSH og SFTP, der understøtter protokol SSH 2.0. Man kan skelne de problematiske SSH-servere på udseendet af overskriften "SSH-2.0-Erlang/version". SSH-servere bygget på Erlang/OTP anvendes i specialiserede systemer, f.eks. på IoT- og edge-beregningsenheder, samt som et debug-værktøj - Erlang gør det let at aktivere en SSH-server til fjern-debugging af sine applikationer (det antages, at en sådan debugging-mulighed kunne være blevet efterladt aktiveret i mange projekter skrevet i Erlang). Problemet optræder også i Elixir-værktøjerne (der er bygget oven på Erlang) og i Phoenix-rammeværket, men SSH-serveren i Phoenix accepterer som standard ikke forespørgsler fra eksterne netværk.
Sårbarheden skyldes en fejl i behandlingen af meddelelser, som medfører, at SSH_MSG_CHANNEL_REQUEST-meddelelser, der tillader udførelse af kommandoen "exec", blev behandlet før autentificering. Eksempel på kode fra exploit: command = ‘file:write_file("/lab.txt", <>).’ return ( b"\x62" # SSH_MSG_CHANNEL_REQUEST + struct.pack(">I", channel_id) + string_payload("exec") + b"\x01" # want_reply = true + string_payload(command) )
Sårbarheden er blevet rettet i versionerne Erlang/OTP-27.3.3, 26.2.5.11 og 25.3.2.20. Opfølgning på udbedringen af sårbarheden i distributioner kan ske på følgende sider: Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Arch, FreeBSD.
Kilde: opennet.ru
