Serwer SSH z Erlang/OTP wykonywał polecenia przed sprawdzeniem tożsamości. Składnik jest w produktach Cisco, NetApp i dystrybucjach Linux. Ataki potwierdzone, kod ataku publiczny. Zaktualizuj i odetnij SSH od internetu.
Ten alert jest dla zarządu, CTO i CFO firm, które mają serwery z Linuksem, urządzenia sieciowe Cisco lub systemy NetApp albo własne aplikacje w języku Erlang. Werdykt: jeśli gdziekolwiek działa serwer SSH z Erlang/OTP starszym niż 25.3.2.20, 26.2.5.11 lub 27.3.3, zaktualizuj go dziś, a sprzęt bez poprawki odetnij od internetu lub wymień, bo luka pozwala wykonać polecenia bez logowania i jest aktywnie wykorzystywana.
Amerykańska agencja CISA 9 czerwca 2025 roku dopisała podatność CVE-2025-32433 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd tkwi w serwerze SSH wbudowanym w Erlang/OTP, zestaw bibliotek języka Erlang. Serwer obsługiwał polecenia przysłane jeszcze przed sprawdzeniem tożsamości, więc napastnik mógł wykonać dowolne polecenie bez hasła i bez klucza.
To luka w składniku, a nie w produkcie z faktury: Erlang/OTP jest wbudowany w urządzenia i systemy różnych producentów. CISA wymienia wśród nich Cisco, NetApp i SUSE. Cisco potwierdziło próby wykorzystania u klientów w czerwcu 2025 roku. Termin naprawy wg CISA minął 30 czerwca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-32433 (komunikat GHSA-37cp-fgq5-7wc2; Cisco: cisco-sa-erlang-otp-ssh-xyZZy) |
Data dodania do CISA KEV | 2025-06-09 |
Termin naprawy wg CISA | 2025-06-30 (21 dni od wpisu) |
Produkt | Erlang/OTP, wbudowany serwer SSH; produkty z tym składnikiem, m.in. Cisco (ConfD, Network Services Orchestrator, routery RV i inne), NetApp, pakiety erlang w Debian, Ubuntu i SUSE |
Wersje zagrożone | Erlang/OTP starszy niż 25.3.2.20, gałąź 26 starsza niż 26.2.5.11, gałąź 27 starsza niż 27.3.3, jeśli uruchomiony jest serwer SSH z OTP; produkty firm trzecich wg komunikatów ich producentów |
Wersje bezpieczne | OTP-25.3.2.20, OTP-26.2.5.11, OTP-27.3.3 i nowsze; Debian bookworm: erlang 1:25.2.3+dfsg-1+deb12u1 (DSA-5906-1), bullseye: 1:23.2.6+dfsg-1+deb11u2; Ubuntu: USN-7443-1; SUSE: biuletyny z 22.04.2025. Cisco: wersje wg komunikatu, dla części sprzętu brak poprawki |
Typ podatności | Brak uwierzytelnienia dla krytycznej funkcji, zdalne wykonanie kodu; CWE-306 |
Ocena CVSS | GitHub (zgłaszający): 10.0 (CVSS 3.1, KRYTYCZNA); SUSE: 9.8 (CVSS 3.1, KRYTYCZNA). Atak przez sieć, bez logowania i bez udziału użytkownika |
Wyobraź sobie ochroniarza w recepcji, który słyszy od gościa: „proszę wpuścić serwisanta na trzecie piętro” i wykonuje polecenie, zanim poprosi gościa o dowód. Nie ma znaczenia, jak dobre są przepustki i jak skrupulatnie sprawdza się je później, bo drzwi już zostały otwarte.
Tak działała ta luka. SSH to protokół zdalnego zarządzania serwerem: najpierw sprawdzenie tożsamości, potem polecenia. Serwer SSH z Erlang/OTP przyjmował i wykonywał niektóre komunikaty jeszcze w fazie logowania. Silne hasła, klucze i polityki dostępu nie miały tu znaczenia. Dodatkowo mało która firma wie, że w jej routerze czy systemie siedzi Erlang, bo to składnik, a nie osobny produkt.
💡 SSH to szyfrowany protokół zdalnego dostępu do serwerów i urządzeń. Erlang/OTP to zestaw bibliotek języka Erlang, zawierający m.in. gotowy serwer SSH używany przez producentów sprzętu i oprogramowania. Biblioteka (składnik) to gotowy fragment kodu wbudowany w cudzy produkt. Koniec wsparcia (EoS) oznacza brak kolejnych poprawek. KEV to katalog CISA z lukami potwierdzonymi w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba łączy się z serwerem SSH | Musi się uwierzytelnić | Może wykonać polecenia przed logowaniem |
Silne klucze i hasła administratorów | Chronią dostęp | Nie mają znaczenia |
Aktualizacja systemu Linux | Łata pakiety | Łata pakiet erlang, ale nie urządzenia z własnym oprogramowaniem |
Router Cisco RV z zakończonym wsparciem | Dostaje poprawki | Poprawki nie będzie |
Pytanie do dostawcy „czy macie Erlang?” | Proste | Lepsze pytanie: „czy produkt jest w komunikacie o CVE-2025-32433?” |
źródło: Pexels, Dan Cristian PădurețPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak jest możliwy przez sieć, bez konta i bez udziału użytkownika, o ile serwer SSH z podatnym Erlang/OTP jest osiągalny dla napastnika. CISA ocenia, że da się go zautomatyzować, a publiczny kod ataku jest dostępny na GitHubie.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Wyszukiwanie w internecie serwerów SSH rozpoznawalnych jako Erlang/OTP | Lista celów |
2. Wysłanie komunikatu | T+sekundy | Przesłanie polecenia w fazie logowania, zanim serwer sprawdzi tożsamość | Wykonanie polecenia na serwerze lub urządzeniu |
3. Utrwalenie | T+minuty | Założenie konta, dodanie klucza, instalacja tylnej furtki | Stały dostęp |
4. Rozpoznanie | T+godziny | Przegląd sieci widocznej z przejętej maszyny: dyski, drukarki, serwery | Mapa sieci firmy |
5. Rozszerzenie ataku | T+dni | Przejmowanie kolejnych systemów, kradzież danych | Dane firmy poza organizacją |
6. Szantaż lub nadużycie | T+tygodnie | Szyfrowanie danych, sprzedaż dostępu, wykorzystanie sprzętu do dalszych ataków | Przestój i koszty incydentu |
Luka w składniku jest trudniejsza niż luka w programie, bo firma zwykle nie wie, gdzie ten składnik siedzi. Serwer SSH to przy tym klucz do zarządzania urządzeniem, a atak nie wymaga żadnego hasła. Wysoki i stabilny wskaźnik EPSS pokazuje, że zainteresowanie napastników nie wygasa.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęte routery lub serwery, konieczność wymiany sprzętu bez wsparcia | Godziny do dni | 20 tys. do 250 tys. PLN (odtworzenie, nowy sprzęt, przestój) |
Bezpieczeństwo danych | Kradzież danych z serwerów i dokumentacji, dostęp do sieci wewnętrznej | Godziny | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty incydentu, możliwy okup, utracone zamówienia | Dni do tygodni | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla serwera SSH z podatnym Erlang/OTP
dostępnego z sieci
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: przy serwerze SSH z Erlang/OTP osiągalnym z sieci ryzyko jest krytyczne (wykonanie poleceń bez logowania, publiczny kod ataku, EPSS ok. 98,6%); Cisco zaznacza, że w większości jej produktów konfiguracja nie pozwala na wykonanie kodu, więc skutek zależy od konkretnego urządzenia, a firma bez tego składnika jest poza zasięgiem.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wszystko, co ma port SSH dostępny spoza biura: serwery, routery, urządzenia sieciowe, systemy producentów | Dziś | Administrator sieci |
2 | 🔴 NATYCHMIAST | Zaktualizować pakiety erlang w systemach Linux (Debian, Ubuntu, SUSE) i aplikacje z własnym Erlang/OTP do wersji z poprawką | Dziś | Administrator systemów |
3 | 🔴 NATYCHMIAST | Dla każdego urządzenia sprawdzić komunikaty producentów (Cisco, NetApp i inni) i wgrać dostępne poprawki | Dziś | Administrator sieci / partner IT |
4 | 🟠 PILNIE | Tam, gdzie poprawki nie ma, odciąć dostęp SSH regułami zapory tylko do sieci lokalnej lub wyłączyć serwer SSH, jeśli nie jest jedynym sposobem zarządzania | Do 3 dni | Administrator sieci |
5 | 🟠 PILNIE | Przejrzeć logi i konta na tych systemach pod kątem nieznanych logowań i nowych kluczy | Do 7 dni | Dział IT / zewnętrzny zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Wymienić routery Cisco RV160, RV160W, RV260, RV260P, RV260W, RV340, RV340W, RV345, RV345P oraz inny sprzęt bez wsparcia | Do 30 dni | CTO / CFO |
7 | 🟡 WAŻNIE | Wymagać od dostawców deklaracji dotyczących składników (np. przy CVE-2025-32433) w umowach serwisowych | Do 30 dni | CTO |
Projekt Erlang/OTP i dystrybucje Linux wydały poprawki. Opis luki w NVD podaje tymczasowe obejście: wyłączenie serwera SSH lub blokadę dostępu regułami zapory. Cisco dla swoich produktów stwierdza, że obejść nie ma, bo SSH bywa jedynym sposobem zarządzania, a dla części sprzętu poprawki nie wyda. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie serwera SSH z Erlang/OTP (obejście z opisu luki) | Wysoka | Łatwa w aplikacjach, niemożliwa tam, gdzie SSH jest jedynym dostępem |
Dostęp SSH tylko z sieci lokalnej lub przez VPN (reguły zapory) | Wysoka wobec napastników z internetu | Łatwa do średniej |
Osobna sieć administracyjna dla zarządzania urządzeniami | Średnia do wysokiej | Średnia |
Wymiana sprzętu bez wsparcia | Wysoka, także wobec przyszłych luk | Średnia: koszt i wdrożenie |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wiedza o składniku Erlang/OTP | Brak | Lista systemów i urządzeń z serwerem SSH |
Dostęp SSH | Często z internetu | Tylko z sieci lokalnej lub przez VPN |
Pakiety i oprogramowanie | Wersje sprzed kwietnia 2025 roku | Wersje z poprawką |
Sprzęt bez wsparcia | Pracuje dalej bez zmian | Odcięty od internetu i zaplanowany do wymiany |
Zgodność z terminem CISA | Zaległość sprzed prawie 15 miesięcy | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Cisco w czerwcu 2025 roku dowiedziało się o próbach wykorzystania u klientów |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 10.0/10 KRYTYCZNA (CVSS 3.1, GitHub); 9.8 KRYTYCZNA (CVSS 3.1, SUSE) |
PoC dostępny publicznie? | TAK, NVD wskazuje publiczny kod ataku na GitHubie |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | Wg CISA możliwa, skutek techniczny całkowity (ocena z 20.08.2025) |
Prognoza EPSS | Ok. 98,6% szansy próby wykorzystania w ciągu 30 dni, stabilnie co najmniej od lipca 2026 roku (wg analizy źródłowej) |
Różnica 10.0 i 9.8 wynika z założenia, czy skutki wychodzą poza sam podatny składnik. Dla decyzji nie ma znaczenia: obie oceny są krytyczne.
Sygnały zagrożenia dla CVE-2025-32433
CVSS 3.1 (GitHub) 10.0/10 ████████████████████ KRYTYCZNA
EPSS (próba w 30 dni) ~98,6% ████████████████████ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Publiczny kod ataku TAK ████████████████████ GitHub
Sprzęt Cisco RV (EoS) BRAK ░░░░░░░░░░░░░░░░░░░░ bez poprawki 2025-04-16 Publikacja CVE-2025-32433 i poprawek Erlang/OTP
2025-04-17 Ubuntu publikuje USN-7443-1
2025-04-20 Debian publikuje DSA-5906-1
2025-04-22 SUSE publikuje biuletyny
2025-06 Cisco dowiaduje się o próbach wykorzystania u klientów
2025-06-09 CISA dodaje lukę do katalogu KEV
2025-06-30 Termin naprawy wg CISA dla agencji federalnych
2025-08-20 CISA ocenia wykorzystanie jako aktywne i automatyzowalne
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-09-17: TUTAJ JESTEŚMY Komunikat projektu Erlang/OTP: github.com/erlang/otp/security/advisories/GHSA-37cp-fgq5-7wc2 . Komunikat Cisco z listą produktów: sec.cloudapps.cisco.com, cisco-sa-erlang-otp-ssh-xyZZy . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-32433 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać listę urządzeń i serwerów z dostępem SSH spoza biura | CTO | DZISIAJ |
2 | Potwierdzić aktualizację pakietów erlang na serwerach Linux | CTO | DZISIAJ |
3 | Zapytać dostawców, czy ich produkty są w komunikatach o CVE-2025-32433 | CTO | DO JUTRA |
4 | Zatwierdzić odcięcie SSH od internetu na sprzęcie bez poprawki | CTO | DO JUTRA |
5 | Zatwierdzić budżet na wymianę routerów Cisco RV z zakończonym wsparciem | CFO | DO JUTRA |
6 | Zlecić przegląd logów i kont na systemach z serwerem SSH | CTO | DO JUTRA |
7 | Sprawdzić, czy umowy serwisowe obejmują informowanie o lukach w składnikach | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Które systemy i urządzenia mają serwer SSH dostępny z internetu? | [lista] | 🔴 |
2 | Czy pakiety erlang na serwerach Linux są w wersji z poprawką? | TAK / NIE | 🔴 |
3 | Czy używamy routerów Cisco RV160, RV260, RV340 lub RV345? | TAK / NIE | 🔴 |
4 | Czy któraś nasza aplikacja w Erlangu ma włączony serwer SSH? | TAK / NIE | 🟠 |
5 | Jaka wersja Erlang/OTP jest w naszych aplikacjach? | [wersja] | 🟠 |
6 | Czy przejrzano logi logowań SSH od kwietnia 2025 roku? | TAK / NIE | 🟠 |
7 | Do kiedy wymienimy sprzęt bez wsparcia producenta? | [data] | 🟡 |
CVE-2025-32433 pozwala wykonać polecenia na serwerze SSH z Erlang/OTP bez logowania, a składnik ten jest wbudowany w urządzenia i systemy wielu producentów. Luka jest aktywnie wykorzystywana, publiczny kod ataku istnieje, a część routerów Cisco nie dostanie poprawki, więc dziś trzeba spisać usługi SSH dostępne z internetu, zaktualizować to, co się da, a resztę odciąć i zaplanować do wymiany.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.