「Erlang/OTP」に深刻なRCE脆弱性 - 概念実証コードも公開済み

開発言語「Erlang」向けのライブラリ群「Erlang/OTP」においてリモートより機器を乗っ取られるおそれがある深刻な脆弱性が明らかとなった。すでに概念実証コードも公開されている。

同ライブラリに含まれる「SSHサーバ」に、認証を必要とすることなくリモートよりコードを実行できる脆弱性「CVE-2025-32433」が明らかとなったもの。

SSHプロトコルのメッセージ処理における不備に起因。CVE番号を採番したGitHubでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを最高値である「10.0」と評価。重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。

同脆弱性は、現地時間2025年4月16日にリリースされた「Erlang/OTP 27.3.3」「同26.2.5.11」「同25.3.2.20」で修正された。

同脆弱性に関しては、すでに概念実証コード（PoC）も広く公開されている。アップデートできない場合、一時的な軽減策として、SSHサーバの無効化やファイアウォールによるアクセス制限などが紹介されている。

（Security NEXT - 2025/04/24 ） ツイート

PR

関連記事

「OpenAM」に深刻な脆弱性 - アップデートを公開
「SolarWinds WHD」に複数脆弱性 - SAML認証回避のおそれも
「PHP」に複数の脆弱性 - セキュリティリリースを公開
「TrendAI Vision One」に深刻な脆弱性 - 2025年に修正済み
「Ruby on Rails」に深刻な脆弱性「KindaRails2Shell」
「Adobe Campaign Classic」に悪用リスク高い脆弱性 - 早急に更新を
エレコム製無線LAN機器に複数脆弱性 - アップデートを提供
「Unbound」に複数脆弱性 - キャッシュ汚染などに対処
「Chrome」にセキュリティ更新 - 脆弱性370件を修正
「Node.js」のアップデートが公開 - 脆弱性11件を修正