--- title: "Erlang/OTP SSH CVE-2025-32433, RCE Tanpa Login" description: "CVE-2025-32433 di server SSH Erlang/OTP memungkinkan eksekusi kode tanpa login, skor CVSS 10. Cara menemukan layanan terdampak dan menambalnya." url: "https://nivelva.com/insight/erlang-otp-ssh-cve-2025-32433-rce-tanpa-login" category: "Keamanan/Cyber Security" tags: ["erlang","cve-2025-32433","ssh","rce","otp"] author: "Lucas Tan" published: "2026-11-11T13:18:00+07:00" updated: "2026-11-11T13:18:00+07:00" language: "id" publisher: "Nivelva (https://nivelva.com)" --- # Erlang/OTP SSH CVE-2025-32433, RCE Tanpa Login > **Jawaban singkat:** CVE-2025-32433 adalah celah di server SSH bawaan Erlang/OTP yang memungkinkan penyerang tanpa login menjalankan perintah. Skornya CVSS 10.0. Perbaikannya ada di OTP-27.3.3, OTP-26.2.5.11, dan OTP-25.3.2.20. Celah ini tidak menyangkut OpenSSH. Apakah servermu menjalankan aplikasi Erlang atau Elixir yang membuka layanan SSH sendiri? Kalau ya, dan versi Erlang/OTP-nya lebih lama dari April 2025, ada kemungkinan siapa pun bisa menjalankan perintah di server itu tanpa login. Itulah CVE-2025-32433. Kabar baiknya, celah ini tidak ada di OpenSSH, server SSH yang dipakai hampir semua VPS Linux. Celahnya ada di pustaka SSH milik Erlang/OTP, yang hanya aktif bila sebuah aplikasi sengaja menjalankan server SSH berbasis Erlang. Tantangannya, banyak tim tidak sadar aplikasi atau perangkat mereka memakai pustaka ini. | Data | Nilai | |---|---| | ID | CVE-2025-32433 | | Tingkat bahaya | Kritis (CVSS 10.0) | | Produk terdampak | Erlang/OTP SSH server | | Versi terdampak | Sebelum OTP-27.3.3, OTP-26.2.5.11, OTP-25.3.2.20 | | Versi aman | OTP-27.3.3, OTP-26.2.5.11, OTP-25.3.2.20 | | Status | Patch tersedia | | Diumumkan | 16 April 2025 | | Detail | https://nvd.nist.gov/vuln/detail/CVE-2025-32433 | ## Apa yang terjadi? Tim Erlang/OTP menerbitkan advisory GHSA-37cp-fgq5-7wc2 pada 16 April 2025. Penemunya adalah peneliti dari Ruhr University Bochum, Jerman. Menurut advisory itu, server SSH Erlang/OTP salah menangani pesan protokol SSH tertentu, sehingga penyerang bisa menjalankan perintah sebelum proses autentikasi selesai. Kelemahannya dikategorikan CWE-306, yaitu fungsi penting yang bisa diakses tanpa autentikasi. Skor CVSS 3.1 dari advisory adalah 10.0, angka tertinggi: lewat jaringan, kompleksitas rendah, tanpa hak akses, tanpa interaksi pengguna, dan dampaknya meluas melampaui komponen yang rentan. Perintah yang dijalankan penyerang berjalan dengan hak akses proses Erlang yang menjalankan server SSH tersebut. Bila proses itu berjalan sebagai root, penyerang langsung menguasai sistem. CISA memasukkan CVE-2025-32433 ke katalog Known Exploited Vulnerabilities pada 9 Juni 2025, setelah ada bukti eksploitasi di lapangan. ## Siapa yang perlu khawatir? Advisory menyebut semua pengguna server SSH Erlang/OTP terdampak, untuk OTP 17.0 ke atas, dan versi yang lebih tua kemungkinan juga. Dalam praktik, ini mencakup: - Aplikasi Erlang atau Elixir buatan sendiri yang memanggil modul `ssh` untuk menyediakan shell jarak jauh, SFTP, atau antarmuka manajemen. - Produk pihak ketiga yang dibangun di atas Erlang. NVD mencantumkan sejumlah produk Cisco, misalnya ConfD dan Network Services Orchestrator, serta beberapa seri router kecil Cisco. - Perangkat jaringan atau sistem telekomunikasi lain yang memakai Erlang di dalamnya. Untuk kelompok ini, update datang dari vendor perangkat. Aplikasi Erlang yang tidak menjalankan server SSH tidak terdampak oleh celah ini, meskipun versi OTP-nya lama. ## Langkah mencari dan menambal ### Langkah 1: Cari proses Erlang yang membuka port Proses Erlang biasanya bernama `beam.smp`. Lihat port yang dibuka olehnya: ``` sudo ss -tlnp | grep beam ``` Server SSH Erlang tidak harus memakai port 22. Port apa pun milik `beam.smp` yang tidak kamu kenali perlu ditelusuri, misalnya dengan mencoba tersambung memakai klien SSH biasa dari jaringan internal. Pemindaian port dengan Nmap, seperti di [cara cek port terbuka dengan Nmap](https://nivelva.com/insight/cara-cek-port-terbuka-server-nmap), membantu untuk banyak server sekaligus. ### Langkah 2: Cek versi OTP Versi lengkap OTP tersimpan di file `OTP_VERSION`. Cara mudah menemukannya: ``` erl -noshell -eval 'io:format("~s~n",[code:root_dir()]), halt().' cat /releases/*/OTP_VERSION ``` Aplikasi yang dirilis sebagai paket mandiri (release) membawa runtime Erlang sendiri. Untuk aplikasi seperti ini, cek folder `releases` di direktori instalasi aplikasi, bukan Erlang milik sistem. ### Langkah 3: Perbarui ke versi aman Naikkan ke salah satu versi berikut, sesuai cabang yang kamu pakai: | Cabang OTP | Versi aman minimal | Versi aplikasi ssh | |:--|:--|:--| | OTP 27 | OTP-27.3.3 | ssh 5.2.10 | | OTP 26 | OTP-26.2.5.11 | ssh 5.1.4.8 | | OTP 25 | OTP-25.3.2.20 | ssh 4.15.3.12 | Untuk aplikasi Elixir, perbarui image dasar atau runtime Erlang yang dipakai, lalu bangun ulang release dan jalankan ulang layanannya. Untuk produk vendor, ikuti advisory vendor tersebut. ### Langkah 4: Tutup akses sementara bila belum bisa update Advisory resmi memberi dua pilihan sementara: matikan server SSH di aplikasi Erlang, atau batasi akses ke port-nya dengan firewall agar hanya alamat tepercaya yang bisa tersambung. Antarmuka manajemen seperti ini memang sebaiknya tidak pernah terbuka ke internet. ### Langkah 5: Periksa tanda penyusupan Bila layanan sempat terbuka ke internet dengan versi rentan, periksa proses anak yang tidak dikenal di bawah `beam.smp`, file baru di direktori aplikasi, cron atau unit systemd baru, dan koneksi keluar yang mencurigakan. Bila ada indikasi, anggap server sudah disusupi: bangun ulang dari sumber bersih dan ganti semua kredensial yang tersimpan di dalamnya. > **Jalankan dengan user terbatas:** > > Proses Erlang tidak perlu berjalan sebagai root. Bila dijalankan dengan user khusus yang haknya terbatas, celah eksekusi kode seperti ini dampaknya jauh lebih kecil. ## Apa bedanya dengan celah OpenSSH? Celah OpenSSH seperti [regreSSHion CVE-2024-6387](https://nivelva.com/insight/regresshion-cve-2024-6387-cek-tambal-openssh) ditambal lewat paket `openssh-server` dari distro. CVE-2025-32433 sama sekali tidak menyentuh paket itu. Update sistem biasa dengan `apt upgrade` atau `dnf update` hanya menolong bila Erlang yang dipakai aplikasimu memang berasal dari paket distro dan distro sudah merilis perbaikannya. Inilah yang membuat celah di pustaka aplikasi lebih mudah terlewat. Pemindai kerentanan yang hanya membaca daftar paket sistem bisa saja tidak melihat runtime Erlang yang dibawa sendiri oleh aplikasi atau container. Inventaris komponen perangkat lunak, termasuk runtime bawaan aplikasi, membantu tim tahu persis server mana yang harus dicek saat celah seperti ini diumumkan. ## Pertanyaan yang sering diajukan ### Apakah VPS saya terdampak hanya karena memakai SSH? Tidak. Server SSH bawaan Linux adalah OpenSSH, dan celah ini tidak ada di sana. Yang terdampak hanya server SSH yang dijalankan oleh aplikasi Erlang/OTP. ### Apakah RabbitMQ atau aplikasi Elixir otomatis terdampak? Tidak otomatis. Aplikasi berbasis Erlang hanya terdampak bila menjalankan server SSH dari pustaka Erlang. Tetap cek konfigurasi dan port yang dibuka, lalu perbarui runtime Erlang ke versi aman. ### Apakah cukup memblokir port 22? Belum tentu. Server SSH Erlang bisa berjalan di port lain. Cari port milik proses beam.smp dan batasi semuanya. ### Kalau sudah update, apakah server pasti aman? Update menutup celahnya. Bila layanan sempat terbuka ke internet saat masih rentan, tetap periksa tanda penyusupan seperti dijelaskan di atas. Checklist singkat: - Semua proses `beam.smp` dan port yang dibukanya sudah didata. - Versi OTP minimal 27.3.3, 26.2.5.11, atau 25.3.2.20. - Port SSH Erlang tidak terbuka ke internet. - Produk vendor berbasis Erlang sudah dicek ke advisory vendornya. ## Sumber - - - --- Diterbitkan oleh Nivelva Insight (https://nivelva.com/insight/). Artikel ini: https://nivelva.com/insight/erlang-otp-ssh-cve-2025-32433-rce-tanpa-login Kontak Nivelva: WhatsApp https://wa.me/6285111245007, email hello@nivelva.com