CVE-2025-41108: Autenticação inadequada no protocolo de controle do robô Ghost Robotics Vision 60
A CVE-2025-41108 afeta o Ghost Robotics Vision 60 versão 0.27.2 e é classificada como CWE-287, Autenticação inadequada. A NVD atribui pontuação 9.8 pelo CVSS 3.1 (crítica), e o registro descreve um protocolo de comunicação sem criptografia nem autenticação que permitiria enviar comandos ao robô. Não há exploração confirmada nas fontes consultadas e o registro não lista versão corrigida.
Visão geral
A CVE-2025-41108 é uma fraqueza de autenticação inadequada (CWE-287) no protocolo de comunicação usado pelo robô Ghost Robotics Vision 60, conforme descrito no registro. A descrição indica que o protocolo não possui criptografia nem autenticação, e que é baseado no MAVLink, um protocolo amplamente documentado. O registro se baseia em um aviso do INCIBE.
Impacto
- Segundo o registro, um atacante poderia se passar pela estação de controle e obter controle total e não autorizado do robô.
- O registro afirma que um atacante poderia capturar o tráfego legítimo entre o robô e seu controlador e reutilizá-lo para enviar comandos válidos.
- A NVD atribui pontuação base 9.8 pelo CVSS 3.1 (crítica), com impacto alto em confidencialidade, integridade e disponibilidade.
- O INCIBE lista pontuações 9.2 pelo CVSS 4.0.
Produtos e versões afetadas
- Ghost Robotics Vision 60, versão 0.27.2.
- Ghost Robotics Vision 60 Firmware, versão 0.27.2.
- O registro não lista outras versões afetadas nem versões corrigidas. Isso não significa que não exista correção; a situação é desconhecida com os dados disponíveis.
Situação de exploração
O catálogo KEV da CISA não inclui esta CVE no registro. Não há exploração confirmada nas fontes consultadas. Os dados SSVC do registro indicam exploração como none e automatizável como no, enquanto os dados EPSS apontam baixa probabilidade prevista de exploração.
Correção e mitigação
- Consulte a Ghost Robotics ou o aviso do INCIBE para verificar se há atualização de firmware ou software que trate o problema.
- Restrinja a exposição de rede da interface de controle do robô, especialmente o acesso remoto por Wi-Fi e 4G/LTE.
- Mantenha os enlaces de controle remoto em canais de rede privados e autenticados, e segmente as redes de controle das redes não confiáveis.
- Limite quais dispositivos podem alcançar a interface de controle e revise quem possui credenciais ou dispositivos de estação de controle.
Orientação para detecção
- Monitore sessões de controle ou comandos originados de dispositivos desconhecidos ou de endereços de rede inesperados.
- Registre e revise as conexões por Wi-Fi e 4G/LTE com o robô.
- Gere alertas para mudanças inesperadas no comportamento ou no estado de controle do robô.
Limitações das informações disponíveis
O registro não informa uma versão corrigida, uma correção do fabricante nem uma solução alternativa oficial. As fontes consultadas são a NVD, o registro do CVE Program e o aviso do INCIBE. Detalhes sobre a implementação exata do protocolo, o modelo de autenticação em versões mais recentes e o ambiente operacional não constam do registro.
Perguntas frequentes
O que é a CVE-2025-41108?
É uma fraqueza de autenticação inadequada (CWE-287) no protocolo de comunicação do robô Ghost Robotics Vision 60, versão 0.27.2, conforme descrito no registro.
Esta CVE está sendo explorada ativamente?
O registro não a inclui no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.
Existe uma versão corrigida?
O registro não lista versão corrigida. A ausência de correção listada não confirma que ela não exista, por isso o status deve ser verificado com o fabricante ou com o aviso do INCIBE.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.