CVE-2025-41108
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Protokół komunikacyjny w Ghost Robotics Vision 60 v0.27.2 może pozwolić atakującemu na wysyłanie poleceń do robota z zewnętrznej stacji atakującej, podszywając się pod stację kontrolną (tablet) i uzyskując nieautoryzowaną pełną kontrolę nad robotem. Brak szyfrowania i mechanizmów uwierzytelniania w protokole komunikacyjnym pozwala atakującemu na przechwycenie legalnego ruchu między robotem a kontrolerem, replikację i wysłanie dowolnego ważnego polecenia z dowolnego komputera lub urządzenia. Protokół komunikacyjny oparty jest na MAVLink, szeroko udokumentowanym protokole, co zwiększa prawdopodobieństwo ataku. Istnieją dwie metody zdalnego połączenia z robotem: Wi-Fi i 4G/LTE.
Ocena ryzyka
Atakujący może przejąć pełną kontrolę nad robotem, co może prowadzić do fizycznych uszkodzeń lub niebezpiecznych działań.
Rekomendacja
Zastosuj szyfrowanie i uwierzytelnianie w protokole komunikacyjnym lub zaktualizuj oprogramowanie robota do wersji zawierającej poprawki.
Inne podatności w Ghost Robotics Vision 60
Zobacz wszystkie- CVE-2026-12991Wysokie
Brak mechanizmów kryptograficznych w robocie Ghost Robotics Vision 60 (APK v5.5.0) umożliwia ataki typu man-in-the-middle. Atakujący w sieci lokalnej może przechwycić i manipulować komunikacją między operatorem a robotem.
- CVE-2026-12990Wysokie
Luka w kontroli dostępu w aplikacji mobilnej (APK v5.5.0) dla robota Ghost Robotics Vision 60 pozwala na równoczesne sesje bez walidacji klienta. Atakujący ze zmodyfikowaną aplikacją może połączyć się podczas aktywnej sesji.
- CVE-2026-12989Wysokie
Brak uwierzytelniania w aplikacji mobilnej (APK v5.5.0) dla robota Ghost Robotics Vision 60 pozwala nieuwierzytelnionemu atakującemu w sieci Wi-Fi na pełny dostęp do interfejsu administracyjnego i API HTTP.
- CVE-2025-41110Wysokie
W aplikacji APK Ghost Robotics Vision 60 v0.27.2 znaleziono zaszyfrowane poświadczenia WiFi i SSH. Atakujący może połączyć się z WiFi robota i uzyskać pełny dostęp do danych, a także przez SSH przejąć pełną kontrolę nad robotem, co może spowodować fizyczne uszkodzenia.
- CVE-2025-41109Średnie
Robot Ghost Robotics Vision 60 w wersji v0.27.2 posiada fizyczne interfejsy, w tym trzy złącza RJ45 i port USB Type-C, które nie wymagają uwierzytelnienia przy nawiązywaniu połączenia. Wewnętrzny router robota automatycznie przypisuje adresy IP każdemu fizycznie podłączonemu urządzeniu, a robot działa na ROS 2 bez domyślnego uwierzytelniania.
Oryginalny opis (angielski, źródło NVD)
The communication protocol implemented in Ghost Robotics Vision 60 v0.27.2 could allow an attacker to send commands to the robot from an external attack station, impersonating the control station (tablet) and gaining unauthorised full control of the robot. The absence of encryption and authentication mechanisms in the communication protocol allows an attacker to capture legitimate traffic between the robot and the controller, replicate it, and send any valid command to the robot from any attacking computer or device. The communication protocol used in this interface is based on MAVLink, a widely documented protocol, which increases the likelihood of attack. There are two methods for connecting to the robot remotely: Wi-Fi and 4G/LTE.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS