「Erlang/OTP」に深刻なRCE脆弱性 - 概念実証コードも公開済み

開発言語「Erlang」向けのライブラリ群「Erlang/OTP」においてリモートより機器を乗っ取られるおそれがある深刻な脆弱性が明らかとなった。すでに概念実証コードも公開されている。

同ライブラリに含まれる「SSHサーバ」に、認証を必要とすることなくリモートよりコードを実行できる脆弱性「CVE-2025-32433」が明らかとなったもの。

SSHプロトコルのメッセージ処理における不備に起因。CVE番号を採番したGitHubでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを最高値である「10.0」と評価。重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。

同脆弱性は、現地時間2025年4月16日にリリースされた「Erlang/OTP 27.3.3」「同26.2.5.11」「同25.3.2.20」で修正された。

同脆弱性に関しては、すでに概念実証コード（PoC）も広く公開されている。アップデートできない場合、一時的な軽減策として、SSHサーバの無効化やファイアウォールによるアクセス制限などが紹介されている。

（Security NEXT - 2025/04/24 ）ツイート