Erlang/OTP SSH の脆弱性 CVE-2025-32433：OT ネットワークへの活発な攻撃を検知

Erlang/OTP SSH RCE Vulnerability Exploited in the Wild to Attack Across OT Networks

2025/08/12 CyberSecurityNews — Erlang/OTP の SSH デーモンに存在する、深刻なリモート・コード実行の脆弱性が活発に悪用され、複数の業界における OT ネットワークが、サイバー犯罪者たちの標的となっている。特別に細工された SSH 接続プロトコル・メッセージを、SSH ポートに送信する未認証の攻撃者により、この脆弱性 CVE-2025-32433 (CVSS：10.0) が悪用され、脆弱なシステム上での任意のコマンド実行の可能性が生じている。

この脆弱性が影響を及ぼす範囲は、Erlang/OTP のバージョン OTP-27.3.3／OTP-26.2.5.11／OTP-25.3.2.20 以下であり、重要インフラ環境に広く導入されるシステムに問題が生じている。

Erlang の Open Telecom Platform は、そのフォールト・トレランス性とスケーラビリティにより、通信ネットワーク／金融システム／産業用制御などの環境で、長年にわたり信頼され続けてきたものだ。

この脆弱性は、SSH デーモンにおける不適切な状態適用に起因する。このデーモンは、認証が完了する前に、認証後のメッセージを拒否できないため、大きな攻撃対象領域を生み出している。

この脆弱性を狙う悪用の試行は 2025年5月1日〜9日の間に急増し、Palo Alto Networks の研究者たちは、この期間中に 3,376 件以上のシグネチャ・トリガーを特定した。

注目すべきことに、これらの検出の約 70% は、OT ネットワークを保護するファイアウォールから発生しており、重要インフラシステムへの集中的な攻撃が示唆される。また、地理的な分布を見ると、米国／日本／ブラジルなど、成熟したデジタル・インフラを有する国々において、大量の悪用試行が発生していることも明らかになった。

これらの攻撃は、医療／農業／メディア／エンターテインメント／ハイテク分野などの業界に影響を与えている。

分析の結果として判明したのは、一般的な IT 環境と比較して、OT ネットワークにおけるデバイス１台あたりのエクスプロイト試行が 160% も増加していることだった。それが示唆するのは、産業システムへの標的型の偵察もしくは、侵害を受けているエンタープライズ・ネットワークからのラテラル・ムーブメントのいずれかが、試行されている状況である。

高度なペイロード分析と攻撃手法

この脆弱性 CVE-2025-32433 のエクスプロイト試行を通じて、高度な攻撃ペイロードが展開されていることを、セキュリティ研究者たちが特定した。それが示すのは、この脆弱性を悪用する脅威アクターの技術の高さである。

観察された攻撃手法の中で最も一般的なものは、侵害したシステムへの永続的なリモートアクセスを確立するために設計されたリバース・シェルの実装である。

TCP connection creation (Source – Palo Alto Networks)

広く普及しているペイロード亜種の１つは、ファイル記述子を悪用してシステム・シェルにダイレクトにバインドして TCP 接続を達成することで、ネットワーク接続を介した対話型コマンド実行を可能にする。

通常において、悪意のコードは通常、以下のように記述される。

exec(fd,"/bin/sh",["/bin/sh"],environ)

この手法を用いる攻撃者は、従来からの検出メカニズムを回避しながら永続的なアクセスを維持できる。

また、別のシンプルな亜種は、Bash の対話モードを悪用してリバース・シェルを起動し、シェルの入出力をリモートの Command and Control (C2) サーバに直接的にリダイレクトする。

これらのペイロードで多用されるのは、ボットネット通信で多用されるポート 6667 で動作する、”146.103.40.203″ などの疑わしい IP アドレス・インフラである。

特に懸念されるのは、DNS ベースの帯域外アプリケーション・セキュリティ・テスト手法の使用である。攻撃者たちがトリガーするのは、”dns.outbound.watchtowr.com” などのドメイン配下の、ランダムなサブドメインへの DNS ルックアップである。

これらのステルス性の高い検証方法により、脅威アクターは明白なネットワーク・トラフィックを生成することなく、コード実行の成功を確認できる。したがって、影響を受ける環境を監視するセキュリティ・チームにとって、検出が著しく困難になるという問題が生じている。

Erlang/OTP の SSH デーモンには、認証が完了する前の時点において、認証後のメッセージを拒否できないという、設計上の不備があるようです。その結果として、未認証の攻撃者であっても、特別に細工した SSH メッセージを送信するだけで、任意のコマンドを実行できてしまうと、この記事は指摘しています。ご利用のチームは、ご注意ください。よろしければ、Erlang で検索も、ご参照ください。