FrodoBots EarthRover Mini+ ファームウェアバージョン 6.2.4_6.2.5_0.614.0 には複数の深刻な脆弱性が存在し、リモートコード実行やデバイス全体の侵害のリスクをもたらします。AWS IAM キーや Agora トークンサービスの詳細を含む、ハードコードされたフリート全体で使用される認証情報がファームウェアに埋め込まれており、特別な権限なしにアクセス可能でした。MQTT を介した認証なしのリモートコマンド実行により、共有 IoT 認証情報を使用して任意のシェルコマンドを root として実行することができました。HTTP REST API、ADB root シェル、SSH などの複数のローカルインターフェースが認証なしで公開されており、完全なローカル侵害や Wi-Fi パスワードなどの機密データへのアクセスを許可していました。不セキュアな STM32 アップデートメカニズムは、暗号化されていない HTTP 経由でファームウェアを取得し、MD5 による検証のみであったため、悪意のあるコードの注入が可能でした。Wi-Fi PSK や /etc/shadow ファイルを含む機密性の高い認証情報は、不セキュアなストレージや認証なしのアクセスによって公開されていました。さらに、すべてのプロセスが root として実行されており、権限分離が欠如していたため、いずれかのサービスの侵害が完全な管理者権限の制御を許可していました。悪用により、ライブカメラおよびマイクフィードへの不正アクセス、フリート全体のリモート root アクセス、Wi-Fi 認証情報の抽出、永続的な侵害につながる可能性があります。ベンダーは多くの問題に対処し、ほとんどのハードコードされた認証情報と任意のシェルコマンド実行を削除しました。ローカルインターフェースの脆弱性は、物理的な近接性と Wi-Fi 接続が必要であるため、緩和されたと見なされています。ユーザーは、EarthRover Mini+ ファームウェアを最新バージョンにアップデートすることを強く推奨します。