Розробники Cisco вивчають вплив критичної уразливості CVE-2025-32433, пов’язаної з віддаленим виконанням коду в Erlang/OTP, на свої продукти. Уже підтверджено, що проблема зачіпає ConfD, Network Services Orchestrator (NSO), Smart PHY, Intelligent Node Manager і Ultra Cloud Core.

Минулого тижня стало відомо, що в Erlang/OTP знайшли критичну вразливість CVE-2025-32433, яка дає змогу віддалено і без автентифікації виконувати довільний код на вразливих пристроях.

Дефект виявили фахівці з Рурського університету в Бохумі (Німеччина), він набрав максимальні 10 балів із 10 можливих за шкалою оцінки вразливостей CVSS.

Проблема зачіпає всі пристрої, на яких працює SSH-демон Erlang/OTP, і для її усунення рекомендується якомога швидше оновитися до версій OTP-27.3.3, OTP-26.2.5.11 і OTP-25.3.2.20.

CVE-2025-32433 пов’язана з некоректним опрацюванням деяких повідомлень протоколу попередньої автентифікації в демоні SSH, що надається SSH-додатком Erlang/OTP.

«Проблема пов’язана з недоліком під час обробки SSH-повідомлень, через що зловмисник отримує можливість надсилати повідомлення до проходження аутентифікації», – пояснювалося у списку розсилки Openwall.

Будь-які команди, що виконуються за допомогою цієї уразливості, запускатимуться з тими самими привілеями, що й демон SSH. У багатьох випадках демон працює під root, а отже, зловмисники зможуть повністю скомпрометувати систему.

Дослідники попереджали, що експлуатація може призвести до «повної компрометації хостів, що дає змогу отримати несанкціонований доступ до конфіденційних даних, маніпулювати ними, а також здійснювати атаки на кшталт »відмова в обслуговуванні«».

Незабаром після розкриття інформації про вразливість дослідники повідомили, що експлуатація CVE-2025-32433 «вкрай проста», а в мережі почали з’являтися PoC-експлоїти.

При цьому наголошується, що хоча ConfD і NSO схильні до проблеми, вони не вразливі для віддаленого виконання коду через свою конфігурацію.

У компанії повідомляють, що випуск патчів заплановано на травень 2025 року.