CVE-2025-41110
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W aplikacji APK Ghost Robotics Vision 60 v0.27.2 znaleziono zaszyfrowane poświadczenia WiFi i SSH. Atakujący może połączyć się z WiFi robota i uzyskać pełny dostęp do danych, a także przez SSH przejąć pełną kontrolę nad robotem, co może spowodować fizyczne uszkodzenia.
Ocena ryzyka
Atakujący może przejąć kontrolę nad robotem, co może prowadzić do fizycznych uszkodzeń robota lub otoczenia, a także naruszenia poufności danych.
Rekomendacja
Zmień domyślne poświadczenia WiFi i SSH, włącz uwierzytelnianie w ROS 2 oraz zaktualizuj oprogramowanie robota.
Inne podatności w Ghost Robotics Vision 60
Zobacz wszystkie- CVE-2025-41108Krytyczne
Protokół komunikacyjny w Ghost Robotics Vision 60 v0.27.2 może pozwolić atakującemu na wysyłanie poleceń do robota z zewnętrznej stacji atakującej, podszywając się pod stację kontrolną (tablet) i uzyskując nieautoryzowaną pełną kontrolę nad robotem. Brak szyfrowania i mechanizmów uwierzytelniania w protokole komunikacyjnym pozwala atakującemu na przechwycenie legalnego ruchu między robotem a kontrolerem, replikację i wysłanie dowolnego ważnego polecenia z dowolnego komputera lub urządzenia. Protokół komunikacyjny oparty jest na MAVLink, szeroko udokumentowanym protokole, co zwiększa prawdopodobieństwo ataku. Istnieją dwie metody zdalnego połączenia z robotem: Wi-Fi i 4G/LTE.
- CVE-2026-12991Wysokie
Brak mechanizmów kryptograficznych w robocie Ghost Robotics Vision 60 (APK v5.5.0) umożliwia ataki typu man-in-the-middle. Atakujący w sieci lokalnej może przechwycić i manipulować komunikacją między operatorem a robotem.
- CVE-2026-12990Wysokie
Luka w kontroli dostępu w aplikacji mobilnej (APK v5.5.0) dla robota Ghost Robotics Vision 60 pozwala na równoczesne sesje bez walidacji klienta. Atakujący ze zmodyfikowaną aplikacją może połączyć się podczas aktywnej sesji.
- CVE-2026-12989Wysokie
Brak uwierzytelniania w aplikacji mobilnej (APK v5.5.0) dla robota Ghost Robotics Vision 60 pozwala nieuwierzytelnionemu atakującemu w sieci Wi-Fi na pełny dostęp do interfejsu administracyjnego i API HTTP.
- CVE-2025-41109Średnie
Robot Ghost Robotics Vision 60 w wersji v0.27.2 posiada fizyczne interfejsy, w tym trzy złącza RJ45 i port USB Type-C, które nie wymagają uwierzytelnienia przy nawiązywaniu połączenia. Wewnętrzny router robota automatycznie przypisuje adresy IP każdemu fizycznie podłączonemu urządzeniu, a robot działa na ROS 2 bez domyślnego uwierzytelniania.
Oryginalny opis (angielski, źródło NVD)
Encrypted WiFi and SSH credentials were found in the Ghost Robotics Vision 60 v0.27.2 APK. This vulnerability allows an attacker to connect to the robot's WiFi and view all its data, as it runs on ROS 2 without default authentication. In addition, the attacker can connect via SSH and gain full control of the robot, which could cause physical damage to the robot itself or its environment.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS