FrodoBots EarthRover Mini+ 固件版本 6.2.4_6.2.5_0.614.0 中存在多个严重漏洞，可能导致远程代码执行和完整设备被接管。固件中嵌入了硬编码的全车队凭证，包括 AWS IAM 密钥和 Agora 令牌服务详情，且无需特殊权限即可访问。通过 MQTT 可实现无需身份验证的远程命令执行，利用共享的物联网凭证以 root 权限执行任意 shell 命令。多个本地接口（如 HTTP REST API、ADB root shell 和 SSH）在未进行身份验证的情况下暴露，导致本地完全被接管并访问敏感数据（如 Wi-Fi 密码）。不安全的 STM32 更新机制通过未加密的 HTTP 获取固件，且仅使用 MD5 进行验证，从而允许恶意代码注入。敏感凭证（包括 Wi-Fi PSK 和 /etc/shadow 文件）因存储不安全且未进行身份验证而暴露。此外，所有进程均以 root 权限运行，缺乏权限分离，意味着任何服务被攻破都将获得完整的行政控制权。利用这些漏洞可能导致未经授权访问实时摄像头和麦克风流、实现全车队远程 root 访问、提取 Wi-Fi 凭证以及造成持久性被接管。厂商已解决大部分问题，移除了大多数硬编码凭证和任意 shell 命令执行功能。本地接口漏洞被认为已缓解，因为它们需要物理接近和 Wi-Fi 连接。强烈建议用户将 EarthRover Mini+ 固件更新至最新版本。