Uso inseguro del método eval() en la herramienta rosbag

Un atacante podría explotar esta vulnerabilidad para ejecutar código Python malicioso en el sistema donde se está ejecutando el comando rosbag filter. Esto podría resultar en la toma de control del sistema, robo de datos confidenciales, o la interrupción de las operaciones del robot. La severidad de este impacto depende del contexto de despliegue de ROS y los privilegios del usuario que ejecuta el comando. La ejecución de código arbitrario representa un riesgo significativo, similar a otras vulnerabilidades que involucran la evaluación de entradas no confiables.

Robotics researchers and developers using ROS Noetic Ninjemys or earlier versions are at significant risk. Organizations deploying ROS in industrial automation or critical infrastructure environments are particularly vulnerable, as a successful exploit could have severe operational consequences. Users who have shared ROS bag files from untrusted sources are also at increased risk.

• python / rosbag:

import subprocess
# Check for suspicious arguments passed to rosbag filter
process = subprocess.Popen(['rosbag', 'filter', '-u', 'your_bag_file'], stdout=subprocess.PIPE, stderr=subprocess.PIPE)
output, error = process.communicate()
if 'eval' in output or 'eval' in error:
    print('Potential CVE-2025-3753 exploitation attempt detected!')

• linux / server:

journalctl -u ros | grep -i "eval"

• generic web: Inspect ROS bag files for embedded Python code or commands that could be executed via rosbag filter.

1. 2025-07-17Disclosure

   disclosure

1. Reservado2025-04-16
2. Publicada2025-07-17
3. Modificada2025-07-18
4. EPSS actualizado2026-03-23

Dado que no se proporciona una versión corregida, la mitigación principal consiste en evitar el uso del comando rosbag filter con entradas no confiables. Se recomienda validar y sanitizar rigurosamente cualquier entrada proporcionada al comando. Como medida temporal, se puede implementar un proxy o WAF para bloquear solicitudes que contengan código Python potencialmente malicioso. Además, se debe limitar el acceso al comando rosbag filter a usuarios autorizados y con privilegios mínimos. La monitorización de los registros del sistema en busca de actividad sospechosa relacionada con la ejecución de Python también es crucial.