Erlang/OTP SSH CVE-2025-32433, RCE Tanpa Login

Apakah servermu menjalankan aplikasi Erlang atau Elixir yang membuka layanan SSH sendiri? Kalau ya, dan versi Erlang/OTP-nya lebih lama dari April 2025, ada kemungkinan siapa pun bisa menjalankan perintah di server itu tanpa login. Itulah CVE-2025-32433.

Kabar baiknya, celah ini tidak ada di OpenSSH, server SSH yang dipakai hampir semua VPS Linux. Celahnya ada di pustaka SSH milik Erlang/OTP, yang hanya aktif bila sebuah aplikasi sengaja menjalankan server SSH berbasis Erlang. Tantangannya, banyak tim tidak sadar aplikasi atau perangkat mereka memakai pustaka ini.

Apa yang terjadi?

Tim Erlang/OTP menerbitkan advisory GHSA-37cp-fgq5-7wc2 pada 16 April 2025. Penemunya adalah peneliti dari Ruhr University Bochum, Jerman. Menurut advisory itu, server SSH Erlang/OTP salah menangani pesan protokol SSH tertentu, sehingga penyerang bisa menjalankan perintah sebelum proses autentikasi selesai.

Kelemahannya dikategorikan CWE-306, yaitu fungsi penting yang bisa diakses tanpa autentikasi. Skor CVSS 3.1 dari advisory adalah 10.0, angka tertinggi: lewat jaringan, kompleksitas rendah, tanpa hak akses, tanpa interaksi pengguna, dan dampaknya meluas melampaui komponen yang rentan.

Perintah yang dijalankan penyerang berjalan dengan hak akses proses Erlang yang menjalankan server SSH tersebut. Bila proses itu berjalan sebagai root, penyerang langsung menguasai sistem.

CISA memasukkan CVE-2025-32433 ke katalog Known Exploited Vulnerabilities pada 9 Juni 2025, setelah ada bukti eksploitasi di lapangan.

Siapa yang perlu khawatir?

Advisory menyebut semua pengguna server SSH Erlang/OTP terdampak, untuk OTP 17.0 ke atas, dan versi yang lebih tua kemungkinan juga. Dalam praktik, ini mencakup:

• Aplikasi Erlang atau Elixir buatan sendiri yang memanggil modul ssh untuk menyediakan shell jarak jauh, SFTP, atau antarmuka manajemen.
• Produk pihak ketiga yang dibangun di atas Erlang. NVD mencantumkan sejumlah produk Cisco, misalnya ConfD dan Network Services Orchestrator, serta beberapa seri router kecil Cisco.
• Perangkat jaringan atau sistem telekomunikasi lain yang memakai Erlang di dalamnya. Untuk kelompok ini, update datang dari vendor perangkat.

Aplikasi Erlang yang tidak menjalankan server SSH tidak terdampak oleh celah ini, meskipun versi OTP-nya lama.

Langkah mencari dan menambal

Langkah 1: Cari proses Erlang yang membuka port

Proses Erlang biasanya bernama beam.smp. Lihat port yang dibuka olehnya:

sudo ss -tlnp | grep beam

Server SSH Erlang tidak harus memakai port 22. Port apa pun milik beam.smp yang tidak kamu kenali perlu ditelusuri, misalnya dengan mencoba tersambung memakai klien SSH biasa dari jaringan internal. Pemindaian port dengan Nmap, seperti di cara cek port terbuka dengan Nmap, membantu untuk banyak server sekaligus.

Langkah 2: Cek versi OTP

Versi lengkap OTP tersimpan di file OTP_VERSION. Cara mudah menemukannya:

erl -noshell -eval 'io:format("~s~n",[code:root_dir()]), halt().'
cat <hasil-perintah-di-atas>/releases/*/OTP_VERSION

Aplikasi yang dirilis sebagai paket mandiri (release) membawa runtime Erlang sendiri. Untuk aplikasi seperti ini, cek folder releases di direktori instalasi aplikasi, bukan Erlang milik sistem.

Langkah 3: Perbarui ke versi aman

Naikkan ke salah satu versi berikut, sesuai cabang yang kamu pakai:

Untuk aplikasi Elixir, perbarui image dasar atau runtime Erlang yang dipakai, lalu bangun ulang release dan jalankan ulang layanannya. Untuk produk vendor, ikuti advisory vendor tersebut.

Langkah 4: Tutup akses sementara bila belum bisa update

Advisory resmi memberi dua pilihan sementara: matikan server SSH di aplikasi Erlang, atau batasi akses ke port-nya dengan firewall agar hanya alamat tepercaya yang bisa tersambung. Antarmuka manajemen seperti ini memang sebaiknya tidak pernah terbuka ke internet.

Langkah 5: Periksa tanda penyusupan

Bila layanan sempat terbuka ke internet dengan versi rentan, periksa proses anak yang tidak dikenal di bawah beam.smp, file baru di direktori aplikasi, cron atau unit systemd baru, dan koneksi keluar yang mencurigakan. Bila ada indikasi, anggap server sudah disusupi: bangun ulang dari sumber bersih dan ganti semua kredensial yang tersimpan di dalamnya.

Apa bedanya dengan celah OpenSSH?

Celah OpenSSH seperti regreSSHion CVE-2024-6387 ditambal lewat paket openssh-server dari distro. CVE-2025-32433 sama sekali tidak menyentuh paket itu. Update sistem biasa dengan apt upgrade atau dnf update hanya menolong bila Erlang yang dipakai aplikasimu memang berasal dari paket distro dan distro sudah merilis perbaikannya.

Inilah yang membuat celah di pustaka aplikasi lebih mudah terlewat. Pemindai kerentanan yang hanya membaca daftar paket sistem bisa saja tidak melihat runtime Erlang yang dibawa sendiri oleh aplikasi atau container. Inventaris komponen perangkat lunak, termasuk runtime bawaan aplikasi, membantu tim tahu persis server mana yang harus dicek saat celah seperti ini diumumkan.

Checklist singkat:

• Semua proses beam.smp dan port yang dibukanya sudah didata.
• Versi OTP minimal 27.3.3, 26.2.5.11, atau 25.3.2.20.
• Port SSH Erlang tidak terbuka ke internet.
• Produk vendor berbasis Erlang sudah dicek ke advisory vendornya.