CVE-2020-10270

Panel sterowania Control Dashboard jest dostępny pod zakodowanym na stałe adresem IP przez interfejsy sieciowe robota. Domyślne dane logowania (nazwy użytkowników i hasła) są powszechnie znane i były publikowane w oficjalnych podręcznikach oraz przewodnikach użytkownika dystrybuowanych przez producenta. Atakujący może zalogować się przy użyciu tych domyślnych danych i przejąć kontrolę nad robotem, a bardziej zaawansowane ataki polegają na całkowitym pominięciu uwierzytelniania i wysyłaniu żądań sieciowych bezpośrednio do urządzenia.

Atakujący uzyskuje zdalną, pełną kontrolę nad robotem, mogąc nim sterować, modyfikować jego działanie lub całkowicie zakłócić jego pracę. Niska złożoność ataku sprawia, że jest on dostępny nawet dla mało doświadczonych napastników.

Należy natychmiastowo zmienić domyślne dane uwierzytelniające na silne, unikalne hasła oraz ograniczyć dostęp sieciowy do panelu Control Dashboard wyłącznie do zaufanych hostów. Należy zastosować patche dostępne u producenta zgodnie z referencjami oraz odizolować sieć robotów od niezaufanych segmentów sieci.

MiR100 i MiR200 (potwierdzone przez badaczy); według producenta podatność może dotyczyć również MiR250, MiR500 oraz MiR1000. Dotyczy oprogramowania firmware tych urządzeń (konkretne wersje wskazane w referencjach producenta).

Podatność została potwierdzona przez badaczy z Alias Robotics w urządzeniach MiR100 i MiR200. Domyślne dane uwierzytelniające były historycznie publikowane w oficjalnych materiałach producenta, co znacząco zwiększa ryzyko ich powszechnego poznania przez potencjalnych atakujących.