Descripción
El servidor SSH de Erlang Erlang/OTP contiene una vulnerabilidad de falta de autenticación en una función crítica. Esto podría permitir a un atacante ejecutar comandos arbitrarios sin credenciales válidas, lo que podría derivar en una ejecución remota de código (RCE) no autenticada. Al explotar una falla en la forma en que se procesan los mensajes del protocolo SSH, un actor malicioso podría obtener acceso no autorizado a los sistemas afectados. Esta vulnerabilidad podría afectar a diversos productos que implementan el servidor SSH de Erlang/OTP, entre ellos, sin limitarse a, Cisco, NetApp y SUSE.
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Esta vulnerabilidad afecta a un proyecto de código abierto común, a una biblioteca de terceros o a un protocolo utilizado por distintos productos. Para más información, consulte github.com/erlang/otp/security/advisories/GHSA-37cp-fgq5-7wc2
- Aviso de sec.cloudapps.cisco.com sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory…
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2025-32433
Ver el texto original en inglés (CISA)
Erlang Erlang/OTP SSH Server Missing Authentication for Critical Function Vulnerability
Erlang Erlang/OTP SSH server contains a missing authentication for critical function vulnerability. This could allow an attacker to execute arbitrary commands without valid credentials, potentially leading to unauthenticated remote code execution (RCE). By exploiting a flaw in how SSH protocol messages are handled, a malicious actor could gain unauthorized access to affected systems. This vulnerability could affect various products that implement Erlang/OTP SSH server, including—but not limited to—Cisco, NetApp, and SUSE.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: This vulnerability affects a common open-source project, third-party library, or a protocol used by different products. For more information, please see: https://github.com/erlang/otp/security/advisories/GHSA-37cp-fgq5-7wc2 ; https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-erlang-otp-ssh-xyZZy ; https://nvd.nist.gov/vuln/detail/CVE-2025-32433