FICHE CVE

CVE-2024-41148

Publiée le 2025-07-17 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les utilisateurs de ROS Noetic Ninjemys ou de versions antérieures sont concernés via l'outil en ligne de commande `rostopic hz`. Un attaquant local peut exécuter du code arbitraire sur le système en incitant un utilisateur à exécuter une expression `--filter` spécifiquement conçue. Cela nécessite un accès local au shell ainsi qu'une interaction de l'utilisateur pour déclencher la commande, mais aucun privilège particulier n'est requis pour l'exploiter.

CVSS 3.17.8 ÉLEVÉE

Type de faiblesse

Injection de code · CWE-94 CWE-95

Publiée2025-07-17

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

security@ubuntu.com

Description officielle du NVD (en anglais)

A code injection vulnerability has been discovered in the Robot Operating System (ROS) 'rostopic' command-line tool, affecting ROS distributions Noetic Ninjemys and earlier. The vulnerability lies in the 'hz' verb, which reports the publishing rate of a topic and accepts a user-provided Python expression via the --filter option. This input is passed directly to the eval() function without sanitization, allowing a local user to craft and execute arbitrary code.