CVE-2026-12991
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Brak mechanizmów kryptograficznych w robocie Ghost Robotics Vision 60 (APK v5.5.0) umożliwia ataki typu man-in-the-middle. Atakujący w sieci lokalnej może przechwycić i manipulować komunikacją między operatorem a robotem.
Ocena ryzyka
Atakujący może przejąć kontrolę nad robotem, odłączyć prawowitego operatora i uniemożliwić mu odzyskanie kontroli, co narusza poufność, integralność i dostępność operacji.
Rekomendacja
Należy wdrożyć szyfrowanie i uwierzytelnianie komunikacji (np. TLS) oraz stosować mechanizmy zapobiegające atakom ARP spoofing.
Inne podatności w Ghost Robotics Vision 60
Zobacz wszystkie- CVE-2025-41108Krytyczne
Protokół komunikacyjny w Ghost Robotics Vision 60 v0.27.2 może pozwolić atakującemu na wysyłanie poleceń do robota z zewnętrznej stacji atakującej, podszywając się pod stację kontrolną (tablet) i uzyskując nieautoryzowaną pełną kontrolę nad robotem. Brak szyfrowania i mechanizmów uwierzytelniania w protokole komunikacyjnym pozwala atakującemu na przechwycenie legalnego ruchu między robotem a kontrolerem, replikację i wysłanie dowolnego ważnego polecenia z dowolnego komputera lub urządzenia. Protokół komunikacyjny oparty jest na MAVLink, szeroko udokumentowanym protokole, co zwiększa prawdopodobieństwo ataku. Istnieją dwie metody zdalnego połączenia z robotem: Wi-Fi i 4G/LTE.
- CVE-2026-12990Wysokie
Luka w kontroli dostępu w aplikacji mobilnej (APK v5.5.0) dla robota Ghost Robotics Vision 60 pozwala na równoczesne sesje bez walidacji klienta. Atakujący ze zmodyfikowaną aplikacją może połączyć się podczas aktywnej sesji.
- CVE-2026-12989Wysokie
Brak uwierzytelniania w aplikacji mobilnej (APK v5.5.0) dla robota Ghost Robotics Vision 60 pozwala nieuwierzytelnionemu atakującemu w sieci Wi-Fi na pełny dostęp do interfejsu administracyjnego i API HTTP.
- CVE-2025-41110Wysokie
W aplikacji APK Ghost Robotics Vision 60 v0.27.2 znaleziono zaszyfrowane poświadczenia WiFi i SSH. Atakujący może połączyć się z WiFi robota i uzyskać pełny dostęp do danych, a także przez SSH przejąć pełną kontrolę nad robotem, co może spowodować fizyczne uszkodzenia.
- CVE-2025-41109Średnie
Robot Ghost Robotics Vision 60 w wersji v0.27.2 posiada fizyczne interfejsy, w tym trzy złącza RJ45 i port USB Type-C, które nie wymagają uwierzytelnienia przy nawiązywaniu połączenia. Wewnętrzny router robota automatycznie przypisuje adresy IP każdemu fizycznie podłączonemu urządzeniu, a robot działa na ROS 2 bez domyślnego uwierzytelniania.
Oryginalny opis (angielski, źródło NVD)
The lack of cryptographic mechanisms to ensure the integrity and authenticity of communications in Ghost Robotics' Vision 60 robot (APK v5.5.0) exposes the system to man-in-the-middle attacks. An attacker located on the local network can use ARP spoofing and selective traffic blocking techniques to intercept and manipulate packets between the legitimate operator and the robot. This allows the attacker to disconnect the original controller, establish unauthorized communications, and prevent the operator from regaining control of the device, seriously compromising the confidentiality, integrity, and availability (CIA) of operations.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS