FrodoBots EarthRover Mini+ 펌웨어 버전 6.2.4_6.2.5_0.614.0에는 원격 코드 실행 및 전체 장치 침해 위험을 초래하는 여러 심각한 취약점이 존재합니다. AWS IAM 키 및 Agora 토큰 서비스 세부 정보를 포함한 하드코딩된 전체 플릿(fleet) 자격 증명이 특별한 권한 없이 접근 가능한 펌웨어에 내장되어 있었습니다. MQTT를 통한 인증되지 않은 원격 명령 실행은 공유 IoT 자격 증명을 활용하여 임의의 셸 명령을 root 권한으로 실행할 수 있도록 허용했습니다. HTTP REST API, ADB root 쉘, SSH와 같은 여러 로컬 인터페이스는 인증 없이 노출되어 전체 로컬 침해 및 Wi-Fi 비밀번호와 같은 민감한 데이터에 대한 접근을 허용했습니다. 암호화되지 않은 HTTP를 통해 펌웨어를 가져오고 MD5로만 검증하는 안전하지 않은 STM32 업데이트 메커니즘은 악성 코드 주입을 가능하게 했습니다. Wi-Fi PSK 및 /etc/shadow 파일과 같은 민감한 자격 증명은 안전하지 않은 저장소 및 인증되지 않은 접근을 통해 노출되었습니다. 또한 모든 프로세스가 root 권한으로 실행되어 권한 분리가 부족했으며, 이는 서비스 침해가 발생하면 전체 관리자 제어 권한을 부여받는다는 것을 의미합니다. 악용 시 실시간 카메라 및 마이크 피드에 대한 무단 접근, 전체 플릿에 대한 원격 root 접근, Wi-Fi 자격 증명 추출 및 지속적인 침해가 발생할 수 있습니다. 공급업체는 대부분의 하드코딩된 자격 증명 및 임의 셸 명령 실행을 제거하여 많은 문제를 해결했습니다. 로컬 인터페이스 취약점은 물리적 근접성과 Wi-Fi 연결이 필요하므로 완화된 것으로 간주됩니다. 사용자는 EarthRover Mini+ 펌웨어를 최신 버전으로 업데이트하는 것이 강력히 권장됩니다.