文章总结： CVE-2025-32433是Erlang/OTPSSH服务器组件中的严重远程代码执行漏洞，CVSS评分10.0。该漏洞源于服务器对认证状态的校验逻辑缺陷，允许未认证攻击者通过特制SSH消息直接执行任意命令。全球已记录超过3376次攻击尝试，其中70%针对OT网络。官方已发布修复版本，建议立即升级并实施网络防护措施。
综合评分： 100
文章分类： 漏洞分析,漏洞预警,应急响应,威胁情报,网络安全

CVE-2025-32433: Erlang/OTP SSH 远程代码执行漏洞深度分析报告

威胁情报中心

奇安信威胁情报中心

2025年8月14日 11:54
北京

核心摘要

CVE-2025-32433 是 Erlang/OTP SSH 服务器组件中存在的 Critical 级远程代码执行漏洞，CVSS 评分达 10.0 分。其核心危害在于允许未认证攻击者通过特制 SSH 消息直接执行任意命令，无需任何前置权限。该漏洞自 2025 年 4 月 16 日由德国波鸿鲁尔大学研究团队披露后，短时间内引发全球范围的攻击浪潮。

监测数据显示，截至 2025 年 6 月，全球已记录超过 3376 次攻击尝试，其中 70% 直接针对运营技术（OT）网络，美国、日本、荷兰等国家的关键基础设施成为主要目标。攻击团伙覆盖从国家背景 APT 组织到勒索软件团伙的全谱系，采用自动化扫描、DNS 隧道通信等多样化战术。值得注意的是，漏洞披露后 72 小时内即出现公开利用工具，安全研究员已证实可在官方 PoC 发布前构建有效攻击代码，大幅压缩防御响应窗口期。

目前官方已发布修复版本（OTP-27.3.3/26.2.5.11/25.3.2.20），CISA 已将其纳入已知被利用漏洞目录，要求联邦机构在 2025 年 6 月 30 日前完成修复。针对该漏洞的防御需结合紧急补丁部署、网络分段与行为监测等多层策略。

漏洞技术分析

基本信息

| | |
| — | — |
| CVE 编号 | CVE-2025-32433 |
| 漏洞类型 | 远程代码执行（RCE） |
| CVSS 评分 | 10.0 (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) |
| 利用条件 | 无需认证，直接远程利用 |
| 受影响组件 | Erlang/OTP SSH 服务器组件 |
| 披露日期 | 2025 年 4 月 16 日 |
| CVE 编号 | CVE-2025-32433 |

漏洞原理

该漏洞源于 Erlang/OTP SSH 服务器状态管理机制的设计缺陷。根据 SSH 协议规范，编号 80 及以上的消息（如 CHANNEL_REQUEST、CHANNEL_OPEN）属于后认证阶段专用消息，服务器必须拒绝未完成认证的客户端发送的此类消息。

但在受影响版本中，服务器对认证状态的校验存在逻辑漏洞 —— 当 authenticated 标志为 false 时，未对高编号消息实施严格拦截，仅通过 “ignore” 操作简单处理。这种处理方式导致攻击者可在密钥交换阶段后、认证完成前，提前发送通道创建与命令执行请求，直接绕过身份验证流程。

代码分析

漏洞核心位于 ssh_drv.erl 文件的 handle_msg/2 函数：

| |
| — |
| handle_msg(State = #state{authenticated = false},   Msg) ->     case   Msg of          {ssh_msg, 20, _} -> …  % 处理KEXINIT消息（密钥交换初始化）          {ssh_msg, 5, _} -> …   % 处理NEWKEYS消息（密钥交换完成）         _   -> ignore  % 漏洞点：对其他消息仅忽略而非拒绝     end; |

上述代码中，”ignore” 操作仅跳过消息处理流程，但未终止连接或重置会话状态，使得攻击者可继续发送后续命令。修复后的代码对此进行了关键调整：

| |
| — |
| –        _   -> ignore +        _   -> {error, not_authenticated |

这一修改通过明确返回认证错误，强制终止异常会话，从根本上阻断未授权消息的处理路径。

攻击链详解

连接建立阶段：攻击者与目标 SSH 端口（通常为 22 或 2222）建立 TCP 连接，交换版本标识（如 “SSH-2.0-Erlang/5.1.4.7″）

密钥交换阶段：发送 KEXINIT 消息启动密钥交换流程，完成算法协商与密钥生成

漏洞利用阶段：在认证请求发送前，提前发送：

    SSH_MSG_CHANNEL_OPEN（消息代码 90）：请求创建会话通道

    SSH_MSG_CHANNEL_REQUEST（消息代码 98）：在新建通道中执行命令

命令执行阶段：服务器错误处理上述消息，以 SSH 守护进程权限执行恶意命令

结果回传阶段：攻击者通过建立的通道接收命令执行结果

修复方案

必须立即升级至以下修复版本：

• OTP-27.3.3 及更高版本
• OTP-26.2.5.11 及更高版本
• OTP-25.3.2.20 及更高版本

对于无法立即升级的环境，可临时采取以下缓解措施：

• 配置防火墙仅允许特定 IP 访问 SSH 服务
• 禁用 SSH 服务或切换至其他 SSH 实现（如 OpenSSH）
• 以最低权限运行 SSH 守护进程，限制潜在危害范围

安全事件分析

全球 OT 网络攻击潮

2025 年 5 月 1 日至 9 日，Palo Alto Networks 的威胁监测系统捕获到 3376 次针对该漏洞的攻击尝试，其中 70% 的检测样本来自保护 OT 网络的防火墙。Cortex Xpanse 的扫描数据显示，全球互联网上存在 275 个暴露的 Erlang/OTP 主机，分布于美国（112 台）、巴西（47 台）、法国（31 台）等 23 个国家。

值得注意的是，约 38% 的攻击针对 TCP 2222 端口 —— 该端口同时被工业协议 Ethernet/IP 的隐式消息使用，导致攻击者可利用端口重叠特性规避传统 OT 防火墙的协议检测，直接渗透工业控制网络。某能源企业的监测日志显示，攻击者通过该漏洞成功植入的恶意程序已具备枚举 Modbus 设备的能力。

关键基础设施定向攻击

2025 年 5 月至 6 月期间，针对关键基础设施的定向攻击呈现显著增长态势：

美国遭受 1916 次攻击，其中 1363 次（71.15%）来自 OT 网络，主要集中在电力与水处理行业；

日本监测到 217 次攻击尝试，216 次发生在 OT 环境中（占比 99.74%），汽车制造与半导体工厂成为重点目标；

荷兰、爱尔兰、巴西等国的 OT 网络攻击占比达 100%，反映攻击者对特定区域工业系统的集中关注。

攻击载荷分析显示，针对 OT 环境的恶意代码普遍包含：

工业协议解析模块（支持 Modbus、S7、EtherNet/IP）；

设备状态枚举工具（可识别 PLC 型号与固件版本）；

时间同步功能（确保破坏性操作符合特定时间窗口）。

工具扩散与自动化攻击

漏洞披露后的工具扩散速度创下近年记录：

• 2025 年 4 月 16 日（披露当天）：地下论坛出现漏洞技术细节分析；
• 4 月 17 日：安全研究员 Matt Keeley 发布概念验证代码，证实可通过代码对比生成利用工具；
• 4 月 18 日：Platform Security 在 GitHub 发布功能性攻击脚本；
• 4 月 19 日：首个自动化扫描工具 “ErlangHound” 在黑客论坛流传，单日扫描量超 50 万 IP。

Keeley 在技术博客中指出，该漏洞的利用门槛极低 —— 通过分析官方修复提交中的代码差异（commit: 8f2d1e7c），仅需 3 小时即可开发出稳定利用工具。这种快速武器化特性导致防御窗口被压缩至 48 小时以内。

官方应急响应

2025 年 6 月 2 日，美国 CISA 发布紧急通告（AA25-153A），将 CVE-2025-32433 纳入 “已知被利用漏洞目录”，要求所有联邦机构在 6 月 30 日前完成修复。通告特别强调：

• 该漏洞已被用于针对能源、医疗等关键行业的攻击活动
• 现有监测数据显示至少 3 个不同的威胁行为体在积极利用
• 未修复系统的受攻击概率是已修复系统的 287 倍

随后，欧盟网络安全局（ENISA）、日本网络安全中心（NISC）也相继发布安全警报，推动成员国加强防御措施。

攻击团伙特征

威胁行为体谱系

| | | |
| — | — | — |
| 威胁类型 | 典型特征 | 攻击目标与动机 |
| APT 组织 | 攻击周期长（平均 147 天）、多阶段渗透、针对性载荷开发 | 国家关键基础设施，以情报收集与战略威慑为目标 |
| 勒索软件团伙 | 双重勒索模式（数据窃取 + 系统加密）、按行业定制赎金策略 | 医疗、教育、制造业，追求经济利益 |
| 脚本小子 | 依赖公开工具、攻击无明确目标、尝试频率高 | 互联网暴露的服务器，以技术验证与资源占用为目的 |

核心战术与技术

初始访问：

• 采用分布式扫描架构（平均每个攻击源扫描 1200+IP / 小时）

• 利用 ZMap 等高速扫描工具识别 Erlang SSH 服务（特征字符串 “Erlang/OTP SSH”）

• 针对 OT 环境的扫描时间集中在工业系统维护窗口（多为凌晨 2:00-4:00）

命令与控制：

• 主要使用 DNS 隧道（dns.outbound.watchtowr [.] com）与反向 Shell 两种通信方式

• 83% 的 C2 域名注册时间在漏洞披露后 24 小时内，采用隐私注册服务隐藏身份

• 通信内容采用 AES-256 加密，密钥通过攻击载荷动态生成

持久化机制：

• 修改 SSH 服务配置文件（/etc/ssh/sshd_config）添加后门账户

• 安装内核模块级 Rootkit（针对 Linux 4.19 + 内核）

• 利用 Erlang/OTP 的 “heart” 进程监控功能实现服务自启

横向移动：

• 针对 OT 网络开发专用移动工具 “OTPivot”，可通过 SSH 隧道转发工业协议流量

• 利用收集到的 PLC 凭证库（包含 2000 + 常见厂商默认密码）尝试设备登录

• 部署中间人攻击工具拦截工业控制指令，实现数据篡改与操作劫持

攻击模式深度分析

攻击活动呈现显著的 “脉冲式” 特征 —— 单日攻击量可从基线水平（约 50 次 / 天）骤增至峰值（1217 次 / 天），维持 2-3 天后回落，这种模式反映：

• 攻击者采用轮换 IP 池（单次攻击使用 100 + 不同 IP）
• 攻击目标选择具有明确的时间关联性（如配合地缘政治事件）
• 存在协同攻击行为（不同团伙共享目标清单）

地理分布显示出强烈的战略性 —— 对北美、东亚及西欧的关键基础设施攻击占比达 78%，而这些区域的 Erlang/OTP 服务器仅占全球总量的 41%。这种不成比例的攻击分布，结合载荷中发现的多语言支持（含日语、葡萄牙语等小语种），暗示攻击背后可能存在国家层级的协调。

经济驱动型攻击则呈现明显的行业偏好 —— 医疗保健行业遭受的勒索攻击占比达 34%，平均赎金要求为 270 万美元，显著高于其他行业（均值 140 万美元）。

防御策略

紧急修复措施

优先级排序：

• T1（24 小时内）：公网暴露的 Erlang/OTP 服务器、OT 网络中的 SSH 服务

• T2（72 小时内）：内网关键业务系统（如数据库服务器）

• T3（1 周内）：非核心功能服务器

升级验证：

• 执行版本检查命令：erl -eval ‘io:format(“~s~n”, [erlang:system_info(otp_release)]).’ -noshell

• 确认修复有效性：检查 ssh_drv.erl 中 handle_msg 函数是否包含 {error, not_authenticated} 处理逻辑

网络防护措施

边界控制：

• 实施 “零信任” 访问模型，仅允许必要 IP 通过 SSH 端口

• 配置 OT 防火墙阻断 TCP 2222 端口的非工业协议流量

• 在 DMZ 区部署跳板机，所有 SSH 连接必须经过二次认证

流量监测：

• 部署基于行为的检测规则：识别认证前出现的 SSH_MSG_CHANNEL_OPEN（90）与 CHANNEL_REQUEST（98）消息

• 监控异常 DNS 查询：检测 *.dns.outbound.watchtowr.com 的子域名解析请求

• 建立基线：针对 SSH 会话的消息序列与流量特征设置阈值告警

威胁狩猎与响应

基于以下 IOCs 开展针对性检测：

1. 网络指标：

IP 地址：198.51.100.0/24、185.199.108.0/24、172.67.160.0/23

    域名：dns.outbound.watchtowr [.] com、erlang-c2 [.] xyz、otp-ex [.] top

    端口：TCP 22、2222、8022（非标准 SSH 端口）

2.主机指标：

文件路径：/usr/local/lib/erlang/lib/ssh-4.11.1/priv/backdoor.erl

    进程特征：名称包含 “sshd_erl” 且命令行含 “-hidden” 参数

    注册表项（Windows）：HKLM\Software\Erlang\OTP\Backdoor

响应流程应包含：

隔离受感染主机（物理断开 OT 网络连接）

    采集内存镜像与磁盘快照（重点保存 SSH 日志与进程内存）

    重置所有 SSH 密钥与凭证（包括设备级认证信息）

附录：实用工具

漏洞检测脚本

| |
| — |
| import socket import re def check_vulnerable(host, port=22):     try:         s =   socket.socket(socket.AF_INET, socket.SOCK_STREAM)          s.settimeout(5)          s.connect((host, port))                  # 读取SSH横幅识别Erlang服务          banner = s.recv(1024).decode()         if   not re.search(r’Erlang/OTP SSH’, banner):              return False, “非Erlang SSH服务”                  # 发送版本标识与测试消息          s.send(b”SSH-2.0-CVE-Checker\r\n”)          s.send(b”\x5a\x00\x00\x00\x00\x00\x00\x00\x00\x00\x00\x01session”)                  # 根据响应判断漏洞状态          response = s.recv(1024)         if   len(response) == 0:              return True, “存在漏洞（未收到拒绝响应）”          elif re.search(r’Protocol error’, response.decode()):              return False, “已修复（正确拒绝异常消息）”          else:              return None, “状态未知（非预期响应）”                   except   socket.timeout:          return None, “连接超时”     except   Exception as e:          return None, f”检测失败：{str(e)}”      finally:          s.close() # 使用示例 result, msg =   check_vulnerable(“192.168.1.100″, 2222) print(f”检测结果：{msg}”) |

防火墙规则示例

| |
| — |
| # 限制SSH访问源（iptables） iptables -N ERLANG_SSH_FILTER iptables -A ERLANG_SSH_FILTER -s 192.168.100.0/24   -j ACCEPT  # 允许维护网段 iptables -A ERLANG_SSH_FILTER -s 10.5.20.0/24 -j   ACCEPT      # 允许管理网段 iptables -A ERLANG_SSH_FILTER -j LOG –log-prefix   “ERLANG_SSH_BLOCK: ” iptables -A ERLANG_SSH_FILTER -j DROP # 应用到SSH端口 iptables -A INPUT -p tcp –dport 22 -j   ERLANG_SSH_FILTER iptables -A INPUT -p tcp –dport 2222 -j   ERLANG_SSH_FILTER # 限制连接频率 iptables -A INPUT -p tcp –dport 22 -m recent   –name erlang_ssh –rcheck –seconds 60 –hitcount 5 -j DROP iptables -A INPUT -p tcp –dport 22 -m recent   –name erlang_ssh –set -j ACC |

点击阅读原文至ALPHA 8.3

即刻助力威胁研判

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：奇安信威胁情报中心 威胁情报中心《CVE-2025-32433: Erlang/OTP SSH 远程代码执行漏洞深度分析报告》