プラットフォーム
other
コンポーネント
alko-robot
修正版
8.0.22
8.0.23
CVE-2026-1612は、AL-KO RobolinhoアップデートソフトウェアにハードコードされたAWSアクセスキーとシークレットキーが存在する脆弱性です。これにより、攻撃者はAL-KOのAWSバケットに不正にアクセスできる可能性があります。影響を受けるのはバージョン8.0.21.0610です。ベンダーには通知済みですが、現時点で公式パッチは提供されていません。
AL-KO Robolinhoのアップデートソフトウェア（CVE-2026-1612）において、深刻な脆弱性が発見されました。このソフトウェアには、AWS AccessキーとSecretキーがハードコードされており、不正なユーザーがAL-KOのAWSバケットにアクセスすることを可能にします。このアクセスは、バケット内のオブジェクトに対して少なくとも読み取り権限を付与し、アプリケーション自体が通常持つ権限よりも広範囲に及ぶ可能性があります。この脆弱性の重大な点は、これらのキーによって直接アクセスが許可されるため、データの漏洩や改ざんのリスクが高まることです。バージョン8.0.21.0610と8.0.22.0524が脆弱であることが確認されていますが、影響を受けるバージョンの範囲は、ベンダーからの対応がないため、不明です。
この脆弱性を知っている攻撃者は、RobolinhoアップデートソフトウェアからハードコードされたAWSキーを抽出できます。キーを入手すると、攻撃者はAWSコマンドラインツールまたはSDKライブラリを使用して、AL-KOのAWSバケットに直接アクセスできます。付与されたアクセス権（少なくとも読み取り権限）により、攻撃者はファイルをダウンロードしたり、オブジェクトをリストしたり、機密情報を取得したりする可能性があります。AWSバケットにおける適切な認証または認可の欠如は、リスクを悪化させます。エクスプロイトの複雑さは低く、最小限の技術スキルしか必要としません。
Users of AL-KO Robolinho robotic lawnmowers who have installed the affected update software versions (8.0.21.0610–8.0.22.0524) are at immediate risk. Shared hosting environments or deployments where multiple devices share the same network segment could amplify the impact, as a compromised device could be used to access the AWS bucket from within the network.
disclosure
エクスプロイト状況
EPSS
0.05% (17% パーセンタイル)
CISA SSVC
ベンダーからの対応がないことと、公式パッチが存在しないことから、迅速な軽減策が不可欠です。Robolinhoユーザーは、バージョン8.0.21.0610および8.0.22.0524を使用しないことを強くお勧めします。不正アクセスを防ぐために、デバイスをインターネットから切断することをお勧めします。AL-KOのAWSバケットを監視し、不審な活動がないか確認してください。セキュリティアップデートを要求し、この脆弱性に関する懸念をAL-KOに直接伝えてください。公式な修正がリリースされるまで、AL-KOのAWSバケットに保存されているデータのセキュリティは危険にさらされます。
Actualizar el software de actualización de AL-KO Robolinho a una versión corregida. La vulnerabilidad consiste en claves de AWS codificadas de forma rígida, por lo que la actualización debe eliminar estas claves y utilizar un método más seguro para acceder a los recursos de AWS. Contactar con el fabricante para obtener información sobre las versiones corregidas.
脆弱性分析と重要アラートをメールでお届けします。
バージョン8.0.21.0610と8.0.22.0524が脆弱であることが確認されています。他のバージョンも影響を受ける可能性があります。
攻撃者はAL-KOのAWSバケットに保存されているすべてのデータにアクセスできる可能性があります。構成情報、ユーザーデータ、その他の機密情報が含まれる可能性があります。
デバイスをインターネットから切断し、AL-KOにセキュリティアップデートを要求してください。
現在、ベンダーが脆弱性開示に応答していない理由に関する公開情報は入手できません。
AWS監視ツールを使用して、バケット内の異常な活動を検出してください。