SSH-serveri haavatavus Erlang/OTP-s, mis võimaldab kaugkoodi täitmist

Erlang/OTP tööriistade komplekti kuuluvasse ssh raamatukokku on avastatud haavatavus (CVE-2025-32433), mis võimaldab ilma autentimiseta kaugelt koodi käitada haavataval SSH-serveril. Probleemile on määratud kriitiline ohtlikkuse tase (10 skaalal 10).

Üks turvauurijatest on juba loonud funktsionaalse eksploiidi koodi käitamiseks haavatavates SSH-serverites. Tasub märkida, et uurija sõnul on kood loodud AI-assistentide GPT-4, Cursor ja Sonnet abil, lähtudes haavatavuse parandamise muudatuste analüüsist, mis sisaldab probleemi lahendamise testi.

Erlang/OTP projekti raamatukogu pakub valmis klientide ja serverilt SSH ja SFTP rakendusi, mis toetavad SSH 2.0 protokolli. Probleemseid SSH-servereid on võimalik tuvastada pealkirja „SSH-2.0-Erlang/version” alusel. Erlang/OTP põhised SSH-serverid on kasutusel spetsialiseeritud süsteemides, näiteks IoT-seadmetes ja edge-arvutustes, ning need toimivad ka tõrkeotsingu tööriistana – Erlang võimaldab hõlpsasti aktiveerida SSH-serveri rakenduste kaugkoodiga tõrkeotsingu jaoks (eeldatakse, et selline tõrkeotsingu võimalus on olnud paljudes Erlangis kirjutatud projektides sisse lülitatud). Probleem esineb ka Elixir tööriistakomplektis (mis on rakendatud Erlangi peal) ja Phoenix raamistikus, kuid Phoenix'i SSH-server ei võta vaikimisi vastu päringuid välisest võrgust.

Haavatavus on põhjustatud sõnumite analüüsi koodis esinevast veast, mille tõttu SSH_MSG_CHANNEL_REQUEST sõnumid, mis võimaldavad „exec” käsu täitmist, töödeldi enne autentimise etappi. Eksploidist näide: command = ‘file:write_file(«/lab.txt», <>).’ return ( b"\x62" # SSH_MSG_CHANNEL_REQUEST + struct.pack(">I", channel_id) + string_payload("exec") + b"\x01" # want_reply = true + string_payload(command) )

Haavatavus on kõrvaldatud versioonides Erlang/OTP-27.3.3, 26.2.5.11 ja 25.3.2.20. Haavatavuse kõrvaldamise edenemist distributsioonides on võimalik jälgida järgmiste lehtede kaudu: Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Arch, FreeBSD.

Allikas: opennet.ru