PT-2026-140436
CVE-2026-121685
·
تاريخ النشر
2026-11-09
·
تاريخ التحديث
2026-11-09
الوصف من
الدرجة
N/A
غير متوفرلا تتوفر حاليًا تقييمات أو مقاييس للخطورة. سنحدّث المعلومات المقابلة في الصفحة فور توفرها.
اسم البرنامج المصاب والإصدارات المتأثرة
FrodoBots EarthRover Mini+ الإصدار 6.2.4 6.2.5 0.614.0
الوصف
يحتوي البرنامج الثابت على مجموعات متعددة من بيانات الاعتماد المضمنة مباشرة في ملف
frodobot.bin والتي يمكن الوصول إليها من خلال التحليل الساكن للبرنامج الثابت القابل للتنزيل علنًا دون الحاجة إلى امتيازات خاصة. وتشمل هذه البيانات اعتماد BasicAuth لخدمة رمز Agora، ومفاتيح وصول AWS IAM، وبيانات اعتماد AWS IoT MQTT، وعنوان URL لـ Slack webhook. تسمح هذه الثغرة للمهاجم بالمصادقة مع خدمات الخلفية والجهاز نفسه، مما قد يؤدي إلى تنفيذ رموز عن بُعد، والوصول غير المصرح به إلى المستشعرات، وكشف البيانات، والاختراق الكامل للجهاز. يمكن للمهاجم التحكم في الروبوت عن بُعد، والوصول إلى بث الصوت والفيديو المباشر، واستخدام الجهاز كنقطة انطلاق للتسلل إلى الشبكة المحلية للمستخدم.التوصيات
افصل الجهاز حتى يتم إصدار تحديث للبرنامج الثابت يقوم بإزالة الأسرار المضمنة وتنفيذ تدوير صحيح لبيانات الاعتماد.
اعزل الجهاز في شبكة VLAN مخصصة دون السماح بالوصول إلى الموارد الداخلية.
احظر حركة المرور الصادرة إلى نقاط نهاية AWS و Agora غير المعروفة على جدار الحماية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾