PT-2025-14467
CVE-2024-39780
·
تاريخ النشر
2025-04-02
·
تاريخ التحديث
2025-08-26
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
نظام تشغيل الروبوتات (ROS) بإصدارات Noetic والإصدارات الأقدم منها
الوصف
تم اكتشاف ثغرة أمنية في عملية إزالة تسلسل YAML في أداة سطر الأوامر «dynparam» التابعة لنظام التشغيل ROS، مما يؤثر على القدرة على الحصول على معلمات العقدة القابلة للتكوين ديناميكيًا وتعيينها وحذفها. تنجم هذه المشكلة عن استخدام الدالة
yaml.load() في الأفعال «set» و«get»، مما يسمح بإنشاء كائنات Python عشوائية. ومن خلال هذه الثغرة، يمكن للمستخدم المحلي أو البعيد صياغة وتنفيذ تعليمات برمجية Python عشوائية.التوصيات
بالنسبة لـ ROS Noetic، قم بالتحديث إلى الإصدار الذي يتضمن الإصلاح عبر الالتزام (commit) 3d93ac13603438323d7e9fa74e879e45c5fe2e8e.
بالنسبة لإصدارات ROS الأقدم من Noetic، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية. كحل مؤقت، يُنصح بتعطيل دالة
yaml.load() في أداة «dynparam» حتى يتوفر تصحيح. قم بتقييد الوصول إلى أداة «dynparam» لتقليل مخاطر الاستغلال. تجنب استخدام الأفعال «set» و«get» في أداة «dynparam» حتى يتم حل المشكلة. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾