Une nouvelle faille de sécurité critique dans Erlang/OTP met en péril des milliers de systèmes dans le monde. Ce problème concerne particulièrement les systèmes Linux utilisant Erlang/OTP. Référencée sous le code CVE-2025-32433, cette vulnérabilité permet à un attaquant l’exécution de code à distance via SSH sans aucune authentification. Affectant directement les serveurs SSH utilisant Erlang/OTP, cette faille obtient un score CVSS alarmant de 10.0, soit le plus élevé sur l’échelle de gravité.
Attention : il est impératif de réagir immédiatement pour sécuriser vos systèmes Linux et éviter tout risque d’exploitation de cette faille.
Pour plus de détails techniques et recommandations, consultez cet article.
Une vulnérabilité qui permet l’exécution de code à distance sans authentification
Origine de la faille CVE-2025-32433
Des chercheurs de l’université de Ruhr à Bochum ont mis en évidence une mauvaise gestion du protocole SSH dans l’implémentation d’Erlang/OTP. En envoyant certaines requêtes SSH malformées avant l’authentification, un attaquant est capable d’injecter et d’exécuter du code directement sur le serveur ciblé. Ce comportement exploite une faille logique fondamentale dans le traitement des messages du protocole.
L’enjeu est important : si le processus SSH tourne avec les privilèges root, l’attaquant obtient le contrôle total de la machine. Cela peut conduire au vol de données sensibles, à l’installation de rançongiciels, ou encore à une interdiction de service (DoS). Cette faille rappelle la vulnérabilité regreSSHion (CVE-2024-6387) et la race condition CVE-2008-4109, qui ont également permis l’exécution de code à distance via SSH.
Dispositifs concernés par cette vulnérabilité
La faille touche potentiellement toutes les applications et systèmes exploitant la bibliothèque SSH d’Erlang/OTP. Différentes distributions Linux et produits Dell, notamment certains commutateurs réseau Dell, peuvent également être affectés selon leur version d’OpenSSH et leur configuration logicielle. Cela inclut notamment les appareils des secteurs OT/IoT, les infrastructures edge computing, ainsi que de nombreux équipements Cisco et Ericsson. Ces derniers utilisent Erlang pour sa robustesse et sa capacité à gérer des traitements concurrents sur des systèmes haute disponibilité. Il est donc essentiel de vérifier la compatibilité logicielle et d’adapter les correctifs à chaque environnement, en tenant compte des spécificités des distributions, des produits et des équipements Dell concernés.
Correctifs et mesures de protection recommandées
Versions corrigées disponibles
Les équipes d’Erlang/OTP ont publié des mises à jour pour corriger cette faille critique. Il est vivement recommandé d’installer dès maintenant les versions suivantes :
- OTP-27.3.3
- OTP-26.2.5.11
- OTP-25.3.2.20
Qualys a souligné l’importance de mettre à jour vers ces versions corrigées afin d’éviter toute exploitation de la faille SSH, en s’appuyant sur ses analyses approfondies des vulnérabilités.
Seules ces versions sont considérées comme sûres ; il est donc essentiel de procéder à la mise à jour pour garantir la sécurité de vos systèmes.
Ces patchs comblent la faille CVE-2025-32433 et protègent les systèmes contre les attaques exploitant ce vecteur.
Solutions temporaires et bonnes pratiques
Dans l’attente d’un déploiement complet des correctifs, il est recommandé de restreindre l’accès au port SSH aux seuls utilisateurs autorisés via des règles de pare-feu. Cela permet de limiter l’exposition des services vulnérables sur Internet et de contenir les risques d’exploitation. De plus, la configuration de certains paramètres SSH, comme ‘LoginGraceTime’, peut limiter le risque de déni de service en réduisant la fenêtre d’attaque potentielle.
Les entreprises doivent également revoir leur politique de sécurité, notamment pour les services connectés, et envisager une surveillance proactive des tentatives de connexion suspectes. L’utilisation d’outils d’automatisation pour la gestion et le durcissement des configurations SSH est fortement recommandée afin d’assurer la cohérence et la sécurité sur l’ensemble des serveurs.
Grâce à ces mesures, l’exposition aux attaques est significativement réduite. Il est important de rappeler que ces recommandations doivent être adaptées aux différentes distributions Linux utilisées dans l’entreprise.
Gestion des clés SSH pour renforcer la sécurité
La gestion des clés SSH constitue un pilier fondamental pour la sécurisation d’un serveur OpenSSH. Pour garantir une protection optimale contre les attaques, il est recommandé d’opter pour un type de clé moderne et robuste, tel que Ed25519. Ce type de clé offre un excellent niveau de sécurité tout en assurant des performances élevées lors des connexions SSH.
La génération d’une clé SSH sécurisée s’effectue facilement à l’aide de la commande suivante :
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519 -C mon-utilisateur@serveurCette commande permet de créer une clé Ed25519 protégée par une passphrase, renforçant ainsi la protection de la clé privée contre tout accès non autorisé. Il est crucial de restreindre les permissions du fichier de clé privée avec :
chmod 600 ~/.ssh/id_ed25519afin d’empêcher toute lecture indésirable par d’autres utilisateurs du système.
Pour autoriser l’accès SSH, la clé publique doit être ajoutée au fichier ~/.ssh/authorized_keys du serveur cible, soit manuellement, soit via la commande :
ssh-copy-id -i ~/.ssh/id_ed25519.pub mon-utilisateur@serveurCette configuration garantit que seuls les détenteurs de la clé privée correspondante peuvent accéder au serveur, limitant ainsi les risques d’intrusion.
Enfin, il est conseillé de tester la connexion SSH pour vérifier la bonne configuration et la gestion des accès :
ssh -i ~/.ssh/id_ed25519 mon-utilisateur@serveurEn adoptant ces bonnes pratiques de gestion des clés SSH, vous renforcez significativement la sécurité de votre serveur OpenSSH et réduisez les risques liés à une mauvaise configuration ou à l’utilisation de clés obsolètes.
Surveillance de l’activité SSH pour détecter les attaques
La surveillance proactive de l’activité SSH est indispensable pour détecter rapidement toute tentative d’attaque ou d’exploitation de vulnérabilités sur un serveur OpenSSH. L’analyse régulière des fichiers de logs, tels que /var/log/auth.log, permet d’identifier les connexions suspectes, les échecs d’authentification et les comportements anormaux pouvant signaler une tentative d’accès non autorisé.
Par exemple, la commande suivante permet de recenser les adresses IP ayant tenté de se connecter avec un mot de passe incorrect :
grep "Failed password" /var/log/auth.log | awk '{print $NF}' | sort | uniq -c | sort -nr | headCette analyse aide à repérer rapidement les attaques par force brute ou les tentatives d’exploitation de failles de sécurité, telles que celles référencées par les CVE 2024.
Il est également essentiel de surveiller la liste des clés SSH autorisées sur le serveur et de procéder à une rotation régulière des clés, notamment lors de changements de personnel ou de mise à jour de la politique de sécurité. L’automatisation de la gestion des configurations SSH sur l’ensemble des serveurs, à l’aide d’outils adaptés, permet de garantir une cohérence et une protection accrue contre les vulnérabilités.
Enfin, la mise à jour régulière d’OpenSSH et l’application des correctifs de sécurité sont des mesures incontournables pour se prémunir contre les failles récemment découvertes, comme la vulnérabilité CVE-2024-6387. En combinant surveillance active, gestion rigoureuse des accès et mise à jour continue, vous renforcez la sécurité de votre infrastructure et limitez les risques d’exploitation par des attaquants.
Une exploitation facilitée par la connaissance des protocoles réseau
Apprendre à anticiper les techniques des attaquants
Pour comprendre en profondeur comment une vulnérabilité de ce type peut être exploitée, il est pertinent de maîtriser les bases des protocoles comme SSH. Comprendre les exploits couramment utilisés par les attaquants permet d’anticiper et de mieux protéger ses systèmes contre les failles SSH. Notre livre pour hacker propose un éclairage complet sur les failles courantes et les techniques de hacking éthique, basé sur des scénarios réels. Parfait pour ceux qui veulent apprendre à hacker et renforcer leurs systèmes contre ce type de menace. Il est également recommandé d’utiliser des outils d’analyse pour simuler des attaques et tester la robustesse de vos systèmes face aux différentes méthodes d’exploitation.
Formation et sensibilisation en cybersécurité
Le risque d’exploitation est d’autant plus élevé que ces vulnérabilités peuvent être lancées sans besoin d’accès préalable. C’est pourquoi la formation continue des administrateurs réseau et des équipes DevOps est une étape essentielle. Il s’agit non seulement de déployer des correctifs, mais aussi de comprendre les vecteurs d’attaque à travers une veille active. La formation continue constitue la meilleure réponse face à l’évolution constante des menaces.
Chez CyberCare, nous accompagnons les entreprises dans la gestion des risques informatiques, de l’analyse de vulnérabilités au verrouillage des accès réseau les plus sensibles. Il ne faut pas négliger la fin du processus de sécurisation : la vigilance doit être maintenue en permanence pour garantir une protection efficace.
