В прошивке FrodoBots EarthRover Mini+ версий 6.2.4_6.2.5_0.614.0 обнаружено несколько серьезных уязвимостей, представляющих риск удаленного выполнения кода и полного компрометирования устройства. В прошивке были жестко закодированы, общедоступные для всего парка устройств учетные данные, включая ключи AWS IAM и сведения о сервисе токенов Agora, доступные без специальных привилегий. Неаутентифицированное удаленное выполнение команд через MQTT позволяло выполнять произвольные команды оболочки от имени root, используя общие учетные данные IoT. Несколько локальных интерфейсов, таких как HTTP REST API, ADB root shell и SSH, были доступны без аутентификации, предоставляя полный локальный компрометирование и доступ к конфиденциальным данным, таким как пароли Wi-Fi. Небезопасный механизм обновления STM32 загружал прошивку через незашифрованный HTTP, проверяемый только по MD5, что позволяло внедрять вредоносный код. Конфиденциальные учетные данные, включая общий ключ Wi-Fi и файл /etc/shadow, были раскрыты из-за небезопасного хранения и неаутентифицированного доступа. Кроме того, все процессы работали от имени root, без разделения привилегий, что означало, что компрометирование любой службы предоставляло полный административный контроль. Эксплуатация могла привести к несанкционированному доступу к потокам с камер и микрофонов в реальном времени, удаленному доступу от имени root ко всему парку устройств, извлечению учетных данных Wi-Fi и постоянному компрометированию. Производитель устранил многие проблемы, удалив большинство жестко закодированных учетных данных и возможность выполнения произвольных команд оболочки. Уязвимости локальных интерфейсов считаются устраненными, поскольку они требуют физической близости и подключения к Wi-Fi. Пользователям настоятельно рекомендуется обновить прошивку EarthRover Mini+ до последней версии.