Er is een ernstige kwetsbaarheid ontdekt in het Robot Operating System (ROS), specifiek in de ‘rosparam’ tool, die van invloed is op de ROS-distributies Noetic Ninjemys en eerder. Deze kwetsbaarheid maakt gebruik van de eval() functie om niet-gezuiverde, door de gebruiker opgegeven parameters te verwerken, wat aanvallers in staat kan stellen om willekeurige Python-code uit te voeren.
Overzicht
Het probleem vloeit voort uit het gebruik van eval() functie voor de verwerking van parameters in radianen, wat kan leiden tot onverwerkte code-injectie. Gezien de eenvoud en het risico dat deze kwetsbaarheid met zich meebrengt, kan een aanvaller potentieel toegang krijgen tot kritieke systemen zonder enige gebruikersinteractie.
Aanbevelingen
- Het wordt aanbevolen om uw huidige ROS (1) versie te upgraden naar een ROS 2 versie, aangezien alle oudere versies end-of-life zijn.
Vraag en Antwoord
Wat is CVE-2024-39289?
CVE-2024-39289 is een kwetsbaarheid in het Robot Operating System ‘rosparam’ tool, die aanvallers in staat stelt willekeurige code uit te voeren via ongefilterde gebruikersinvoer.
Welke systemen zijn kwetsbaar voor CVE-2024-39289?
De kwetsbare systemen zijn alle versies van ROS-distributies Noetic Ninjemys en eerder, die de ‘rosparam’ tool gebruiken.
Bestaat er al een patch of beveiligingsupdate?
Nee, er is geen patch voor deze kwetsbare ROS (1) versies. Er wordt aangeraden om te upgraden naar een ROS 2 versie.
Wat kan een aanvaller met deze kwetsbaarheid?
Een aanvaller kan met deze kwetsbaarheid potentieel willekeurige Python-code uitvoeren, wat kan leiden tot volledige systeemcompromittering.
