Açıklama

2025 Nisan ayında, Erlang/Open Telecom Platform (OTP) SSH kütüphanesinde kritik bir güvenlik açığı (CVE-2025-32433) keşfedildi. Bu zafiyet, ağ erişimi olan bir saldırganın kimlik doğrulama yapmaksızın uzaktan rastgele kod çalıştırmasına olanak tanımaktadır. Zafiyet, Ruhr Üniversitesi Bochum’daki güvenlik araştırmacıları tarafından tespit edilmiş ve CVSS 10.0 skoru ile en yüksek seviye kritik olarak değerlendirilmiştir.

Erlang/OTP bileşenleri, özellikle telekom, IoT, OT ve edge cihazlarında yaygın şekilde kullanıldığından bu zafiyetin etkisi oldukça geniştir.

Tespit Edilen CVE

• CVE ID: CVE-2025-32433
• CVSS Skoru: 10.0 (Kritik)
• Zafiyet Türü: Uzaktan Kod Çalıştırma (RCE)
• Etkilenen Bileşen: Erlang/OTP SSH Daemon
• Etkilenen Sürümler:
• OTP-27.3.2 ve öncesi
• OTP-26.2.5.10 ve öncesi
• OTP-25.3.2.19 ve öncesi
• Düzeltme Sürümleri:
• OTP-27.3.3
• OTP-26.2.5.11
• OTP-25.3.2.20

Teknik Detay

Zafiyet, SSH protokol mesajlarının kimlik doğrulama öncesinde hatalı işlenmesinden kaynaklanmaktadır. Saldırgan, kimlik doğrulama gerektirmeyen özel hazırlanmış bağlantı mesajlarıyla SSH daemon sürecini istismar edebilir.

• Eğer SSH daemon root ayrıcalıklarıyla çalışıyorsa, saldırgan tam sistem kontrolü elde edebilir.
• Etkilenen sistemlerde, bu durum ransomware yükleme, veri sızdırma veya hizmet kesintisi gibi ciddi sonuçlar doğurabilir.
• ssh_connection.erl gibi çekirdek modüllerdeki oturum yönetim hataları bu zafiyetin temel kaynağıdır.

Etki

• Kimlik doğrulama olmadan uzaktan kod çalıştırma
• Root ayrıcalıklarıyla sistemin tamamen ele geçirilmesi
• IoT ve telekom altyapılarında sistem dışı bırakma (DoS) riskinin artması
• Cisco, Ericsson gibi altyapılarda kullanılan OTP bileşenleri sebebiyle kritik sistemlerin hedef olması

Önerilen Önlemler ve Çözüm Adımları

1. Güncelleme: Aşağıdaki güvenli sürümlerden birine geçiş yapın:
2. OTP-27.3.3
3. OTP-26.2.5.11
4. OTP-25.3.2.20
5. Geçici Koruma Önlemleri:
6. SSH portlarına yalnızca güvenilir IP adreslerinden erişime izin verin.
7. Firewall üzerinden SSH trafiğini kısıtlayın.
8. Güncelleme mümkün değilse, SSH daemon’un dışa açık olmaması sağlanmalı.
9. Sistem İzleme:
10. SSH oturumlarını ve kimlik doğrulama dışı erişim girişimlerini loglardan takip edin.
11. Şüpheli ağ aktivitelerini IDS/IPS sistemleriyle analiz edin.

Sonuç

CVE-2025-32433, kimlik doğrulama olmadan tam sistem kontrolüne olanak tanıyan, son derece kritik bir uzaktan kod çalıştırma zafiyetidir. Erlang/OTP SSH bileşeninin yaygın kullanımı nedeniyle, bu açık büyük ölçekli riskler doğurmaktadır. Sistem yöneticilerinin hızlıca gerekli güncellemeleri uygulamaları ve SSH yapılandırmalarını gözden geçirmeleri önem arz etmektedir.

‍