CVE-2020-10269

Jeden z interfejsów bezprzewodowych robotów MiR jest fabrycznie skonfigurowany w trybie WiFi Master (Access Point). Domyślny SSID przyjmuje format MiR_RXXXX, a hasło jest powszechnie znane i zostało opublikowane w przeszłości w oficjalnych podręcznikach użytkownika dystrybuowanych przez producenta. Ponieważ dane te są publicznie dostępne i nigdy nie zmieniane domyślnie, każdy atakujący w zasięgu sygnału WiFi może bez trudu połączyć się z siecią robota.

Atakujący w zasięgu sygnału WiFi może uzyskać nieautoryzowany dostęp do sieci bezprzewodowej robota, co potencjalnie prowadzi do przejęcia kontroli nad urządzeniem, naruszenia poufności danych, a także zagrożenia integralności i dostępności systemu robotycznego.

Należy niezwłocznie zmienić domyślne dane dostępowe (SSID oraz hasło) WiFi Access Point na unikalne i silne wartości. Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się wyłączenie trybu Access Point, jeśli funkcja ta nie jest wymagana operacyjnie, oraz ograniczenie dostępu do sieci bezprzewodowej robota za pomocą dodatkowych mechanizmów kontroli dostępu.

MiR100, MiR200 (potwierdzone); prawdopodobnie także MiR250, MiR500 i MiR1000 według informacji producenta — wersje wskazane w referencjach producenta

Podatność została potwierdzona przez badaczy z Alias Robotics i udokumentowana w repozytorium RVD (Robot Vulnerability Database) pod numerem zgłoszenia #2566. Informacje o domyślnych danych dostępowych były historycznie dostępne w oficjalnych podręcznikach użytkownika dystrybuowanych przez producenta MiR.