PT-2025-25412 · Openc3 · Openc3 Cosmos

CVE-2025-28381 · Publicado 2025-06-13 · Atualizado 2025-10-27

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas OpenC3 COSMOS versão 6.0.0

Descrição Um vazamento de credenciais no OpenC3 COSMOS permite que atacantes acessem credenciais de serviço armazenadas como variáveis de ambiente em todos os contêineres. Este problema está relacionado ao armazenamento em texto claro de informações sensíveis em uma variável de ambiente.

Recomendações Para o OpenC3 COSMOS versão 6.0.0, considere remover ou proteger as variáveis de ambiente que armazenam credenciais de serviço para prevenir acesso não autorizado. Como medida de contorno temporária, restrinja o acesso aos contêineres para minimizar o risco de exploração.

Exploit

Correção

Enumeração de Fraquezas

CWE-526

Identificadores relacionados

CVE-2025-28381

PYSEC-2025-255

Produtos afetados

Openc3 Cosmos

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/28xxx/CVE-2025-28381.json · Exploit
• 🔥 https://visionspace.com/openc3-cosmos-a-security-assessment-of-an-open-source-mission-framework · Exploit
• https://github.com/OpenC3/cosmos/pull/1816 · Nota
• https://github.com/OpenC3/cosmos/releases/tag/v6.0.2 · Nota
• https://github.com/OpenC3/cosmos/pull/1816/commits/cce64c213fd2e6a70e2ccbf3622949fe8f9dcaef · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-28381 · Nota de Segurança
• https://t.me/cvetracker/26187 · Publicação no Telegram
• https://t.me/cveNotify/140491 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-28381 · Aviso do Fabricante
• https://t.me/latest_high_impact_cve/2651 · Publicação no Telegram
• https://twitter.com/SpaceCyberSec/status/1933796761874899367 · Publicação no Twitter
• https://openc3.com · Nota
• https://osv.dev/vulnerability/PYSEC-2025-255 · Aviso do Fabricante
• https://twitter.com/cracbot/status/1935291468098453896 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1933520878555254975 · Publicação no Twitter