CVE-2026-121685

Nome do Software Vulnerável e Versões Afetadas FrodoBots EarthRover Mini+ versão 6.2.4 6.2.5 0.614.0

Descrição O firmware contém múltiplos conjuntos de credenciais codificadas diretamente no arquivo frodobot.bin, que podem ser acessadas via análise estática do firmware disponível publicamente para download, sem a necessidade de privilégios especiais. Isso inclui credenciais BasicAuth para um serviço de token Agora, chaves de acesso AWS IAM, credenciais AWS IoT MQTT e uma URL de webhook do Slack. Esta falha permite que um invasor se autentique em serviços de backend e no próprio dispositivo, podendo levar à execução remota de código, acesso não autorizado a sensores, divulgação de dados e comprometimento total do dispositivo. Um invasor poderia controlar remotamente o rover, acessar transmissões de áudio e vídeo ao vivo e usar o dispositivo como ponto de apoio para pivotar na rede local.

Recomendações Desconecte o dispositivo até que seja lançada uma atualização de firmware que remova os segredos codificados e implemente a rotação adequada de credenciais. Isole o dispositivo em uma VLAN dedicada sem saída para recursos internos. Bloqueie o tráfego de saída para endpoints desconhecidos da AWS e Agora no firewall.