「Erlang/OTP」に深刻なRCE脆弱性 - 概念実証コードも公開済み

開発言語「Erlang」向けのライブラリ群「Erlang/OTP」においてリモートより機器を乗っ取られるおそれがある深刻な脆弱性が明らかとなった。すでに概念実証コードも公開されている。

同ライブラリに含まれる「SSHサーバ」に、認証を必要とすることなくリモートよりコードを実行できる脆弱性「CVE-2025-32433」が明らかとなったもの。

SSHプロトコルのメッセージ処理における不備に起因。CVE番号を採番したGitHubでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを最高値である「10.0」と評価。重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。

同脆弱性は、現地時間2025年4月16日にリリースされた「Erlang/OTP 27.3.3」「同26.2.5.11」「同25.3.2.20」で修正された。

同脆弱性に関しては、すでに概念実証コード（PoC）も広く公開されている。アップデートできない場合、一時的な軽減策として、SSHサーバの無効化やファイアウォールによるアクセス制限などが紹介されている。

（Security NEXT - 2025/04/24 ） ツイート

PR

関連記事

中国複数グループが「ToolShell」攻撃を展開 - 攻撃拡大に懸念
SonicWall「SMA 100」にバックドア、ゼロデイ攻撃か - 侵害調査の実施を
SonicWall「SMA 100」に脆弱性 - Googleが報告した攻撃との関連不明
マルチパートフォームデータを生成するnpmパッケージに脆弱性
「Chrome」のスクリプトエンジンに複数脆弱性 - アップデート公開
「CrushFTP」脆弱性、すでに被害も - 開示過程でトラブル
「SharePoint」「FortiWeb」の脆弱性悪用に警告 - 即日対応の緊急要請も
「Sophos Firewall」に複数の「クリティカル」脆弱性 - 対象機器は1％未満
「SharePoint Server」に深刻な脆弱性「ToolShell」 - すでに悪用も
セキュリティ管理ツール「Juniper Security Director」に脆弱性