ErlangのOTP SSHデーモンに存在する最大深刻度のRCE脆弱性（CVE-2025-32433）が、重要インフラ分野のOTネットワークにおいて、6か国にわたりファイアウォールを標的として積極的に悪用されました。
ErlangのOpen Telecom Platform（OTP）のSSHデーモン（sshd）に影響を与える最大深刻度のリモートコード実行（RCE）問題が、2025年4月にパッチが公開された数日後、攻撃者によって実際に悪用されました。
Unit 42によると、攻撃者はこの脆弱性（CVE-2025-32433として追跡）を、2025年5月1日から5月9日にかけてNデイ脆弱性として悪用し始め、主に運用技術（OT）ファイアウォールが標的となりました。
Erlangはエリクソンによって開発された関数型のオープンソースプログラミング言語で、スケーラブルで耐障害性のあるシステム向けに設計されています。そのOTPフレームワークは、通信、メッセージングプラットフォーム、産業用制御システムなどの高可用性環境向けに、並行処理や自己修復機能を提供します。
「OTや5G環境では、ダウンタイムを最小限に抑えた高可用性システムのためにErlang/OTPの耐障害性とスケーラビリティが利用されています」とUnit42の研究者はブログ投稿で述べています。「コンプライアンスや安全要件から、OTや5Gの管理者はリモートでホストを管理するためにErlang/OTPのネイティブSSH実装を利用する傾向があり、これがCVE-2025-32433がこれらのネットワークで特に懸念される理由です。」
OTネットワークが標的に
Erlang/OTPは産業用制御システム、特に組み込み機器やネットワーク機器、ITとOTネットワークを橋渡しするミドルウェアなどで広く利用されています。
Unit 42は、攻撃の約70%がOTファイアウォールを標的としており、多くが医療、農業、メディア、ハイテク製造業などの分野に配備されていることを観測しました。2025年4月16日から5月9日にかけて、同社のCortex Xpanseスキャンでは、275の異なるホストと326の脆弱なErlang/OTPサービスがパブリックインターネットに公開されていることが検出されました。
地理的には、日本、米国、オランダ、アイルランド、ブラジル、エクアドルにわたり攻撃が確認され、一部の地域では検出された攻撃の100%がOT環境を標的としていました。
「CVE-2025-32433の本当の危険性は、単なるITの脆弱性ではない点です。運用技術（OT）ネットワークに不均衡に影響を与えており、すでに重要インフラに結びついたシステムで実際に確認されています」とQualysのプリンシパルプロダクトマネージャー、エイプリル・レンハード氏は述べています。「既知の侵害の多くは、ロボット、ポンプ、バルブ、さらには安全システムなどの物理プロセスを制御するOT資産に関係しています。悪用されると、センサーの値が改ざんされたり、障害が発生したり、安全リスクが生じたり、物理的な損害が発生する可能性があります。」
SSHの不備なロジックがRCEを招く
問題の根本は、Erlang/OTPのSSHデーモンが、認証が完了する前に「SSH_MSG_CHANNEL_OPEN」や「SSH_MSG_CHANNEL_REQUEST」など特定のSSHプロトコルメッセージを不適切に処理してしまうことにあります。通常であれば、こうしたメッセージは有効な認証情報が確認されるまで拒否されるべきですが、OTPのSSHサーバーはそれらを正当なものとして扱い、認証なしでリモートコード実行を可能にしてしまいます。
このSSHロジックの見落としにより、リモート攻撃者はパスワードを使用せずに任意のコードを実行できてしまいました。NetAppのアドバイザリによると、脅威アクターはこのRCEハックを利用して、機密情報の漏洩、データの追加・改ざん、サービス拒否（DoS）などの攻撃を行う可能性があります。
「この脆弱性が悪用された場合、組織、そのネットワーク、運用に深刻な影響を及ぼす可能性があります」とBlackDuckのインフラセキュリティプラクティスディレクター、トーマス・リチャーズ氏は述べています。「攻撃者はシステムを完全に制御できるようになり、機密情報の侵害やネットワーク内の他のホストへの侵害も可能になります。また、接続されたシステムの運用を妨害することも可能です。」
重要インフラの場合、その影響はさらに大きく、広範な一般市民に影響を及ぼす可能性があると彼は付け加えました。
さらに悪いことに、公開された概念実証（PoC）コードが迅速に登場したことで、スキルの低い脅威アクターでもこのバグを武器化できるようになりました。この脆弱性はErlangの一部の導入環境に影響しましたが、SSHが重要なサービスの一部として公開されているシステムではその影響が拡大しました。脆弱性は、修正版であるOTP-27.3.3、OTP-26.2.5.11、OTP-25.3.2.20より前のバージョンに影響します。
ニュースレターを購読する
編集部からあなたの受信箱へ
下記にメールアドレスを入力して開始してください。