« Volver al listado

CVE-2025-30211

Estado: AplazadaAlta (7.5)—

Erlang/OTP is a set of libraries for the Erlang programming language. Prior to versions OTP-27.3.1, 26.2.5.10, and 25.3.2.19, a maliciously formed KEX init message can result with high memory usage. Implementation does not verify RFC specified limits on algorithm names (64 characters) provided in KEX init message. Big KEX init packet may lead to inefficient processing of the error data. As a result, large amount of memory will be allocated for processing malicious data. Versions OTP-27.3.1, OTP-26.2.5.10, and OTP-25.3.2.19 fix the issue. Some workarounds are available. One may set option `parallel_login` to `false` and/or reduce the `max_sessions` option.

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vector CVSS con AV:N/PR:N/UI:N indica explotación remota sin privilegios (T1190). CWE-789 y descripción explícita de 'high memory usage' por paquete KEX malformado confirma denegación de servicio por consumo de recursos (T1499.004).

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Filter Network TrafficVulnerability ScanningPrivileged Account ManagementNetwork SegmentationLimit Access to Resource Over NetworkApplication Isolation and Sandboxing

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Erlang — OTPAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2025-30211",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2025-30211",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2025-03-28T15:10:23.043937Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 7.5,
          "attackVector": "NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H",
          "integrityImpact": "NONE",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "NONE"
        },
        "impactScore": 3.6,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "erlang",
          "product": "otp",
          "versions": [
            {
              "status": "affected",
              "version": "< OTP-27.3.1"
            },
            {
              "status": "affected",
              "version": "< OTP-26.2.5.10"
            },
            {
              "status": "affected",
              "version": "< OTP-25.3.2.19"
            }
          ]
        }
      ]
    }
  ],
  "published": "2025-03-28T15:15:50.863",
  "references": [
    {
      "url": "https://github.com/erlang/otp/security/advisories/GHSA-vvr3-fjhh-cfwc",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://lists.debian.org/debian-lts-announce/2025/04/msg00028.html",
      "source": "af854a3a-2127-422b-91ae-364da2661108"
    }
  ],
  "vulnStatus": "Deferred",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-789"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Erlang/OTP is a set of libraries for the Erlang programming language. Prior to versions OTP-27.3.1, 26.2.5.10, and 25.3.2.19, a maliciously formed KEX init message can result with high memory usage. Implementation does not verify RFC specified limits on algorithm names (64 characters) provided in KEX init message. Big KEX init packet may lead to inefficient processing of the error data. As a result, large amount of memory will be allocated for processing malicious data. Versions OTP-27.3.1, OTP-26.2.5.10, and OTP-25.3.2.19 fix the issue. Some workarounds are available. One may set option `parallel_login` to `false` and/or reduce the `max_sessions` option."
    },
    {
      "lang": "es",
      "value": "Erlang/OTP es un conjunto de librerías para el lenguaje de programación Erlang. En versiones anteriores a OTP-27.3.1, 26.2.5.10 y 25.3.2.19, un mensaje de inicio de KEX malintencionado podía generar un alto consumo de memoria. La implementación no verifica los límites especificados por RFC para los nombres de algoritmos (64 caracteres) proporcionados en el mensaje de inicio de KEX. Un paquete de inicio de KEX de gran tamaño puede provocar un procesamiento ineficiente de los datos de error. Como resultado, se asignará una gran cantidad de memoria para procesar datos maliciosos. Las versiones OTP-27.3.1, OTP-26.2.5.10 y OTP-25.3.2.19 solucionan este problema. Existen algunos workarounds. Se puede establecer la opción `parallel_login` en `false` o reducir el valor de la opción `max_sessions`."
    }
  ],
  "lastModified": "2026-06-17T09:08:21.863",
  "sourceIdentifier": "security-advisories@github.com"
}