vs gauge
区分
JVN番号
タイトル
JVN
深刻度
最終更新日
CVE番号
New
JVNDB-2026-026400

ロボット掃除機DEEBOT PRO M1、DEEBOT PRO K1VACおよびスマートフォンアプリECOVACS PROにおける複数の脆弱性

7.5
2026/08/03 18:24
CVE-2026-66404
JVNDB-2026-026400
ロボット掃除機DEEBOT PRO M1、DEEBOT PRO K1VACおよびスマートフォンアプリECOVACS PROにおける複数の脆弱性
概要
ECOVACS ROBOTICSが開発し、日本国内ではHellohas Robotics株式会社が提供するロボット掃除機DEEBOT PRO M1、DEEBOT PRO K1VACおよびスマートフォンアプリECOVACS PROには、次の複数の脆弱性が存在します。
  • デバッグ用途のWebサーバが有効（CWE-489） - CVE-2026-66403
  • MQTT通信におけるサーバ証明書検証の欠如（CWE-295） - CVE-2026-66404
  • telnetサーバが有効（CWE-489） - CVE-2026-66405
  • wget呼び出しにおけるサーバ証明書検証欠如（CWE-295） - CVE-2026-66406
    • 中間者攻撃（man-in-the-middle attack）によって通信内容を傍受されたり改ざんされたりする可能性があります
  • Websocket通信認証における解読される恐れの高い暗号アルゴリズムの使用（CWE-327） - CVE-2026-66407
    • 中間者攻撃（man-in-the-middle attack）によってwebsocketの秘密鍵を解析される可能性があります
  • rootアカウントに弱いパスワードが使われている（CWE-1391） - CVE-2026-66408
  • Wi-Fiホットスポットネットワークに弱いパスワードが使われている（CWE-1391） - CVE-2026-66409
  • スマートフォンアプリにおける不適切な証明書検証（CWE-295） - CVE-2026-66410
  • 脆弱なサードパーティ製コンポーネントの使用（CWE-1395）
    • 当該製品で使用しているQuectel EG25-Gデバイスにおいて既知の脆弱性（CVE-2021-31698）が未修正
  • Websocket通信における認証処理の不適切な実装（CWE-303） - CVE-2026-66411
この脆弱性情報は、Hellohas Robotics株式会社がECOVACS ROBOTICSに直接報告し、ECOVACS ROBOTICSとの調整を経て、製品利用者への周知を目的にJVNでの公表に至りました。
想定される影響と対策
想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。
  • 特定のポートを介して当該製品が保存しているフロアマップやログ情報を取得される（CVE-2026-66403）
  • MQTTを介して当該製品の操作履歴や動作ログを取得される（CVE-2026-66404）
  • Telnet経由で当該製品にログインされる（CVE-2026-66405）
  • 管理者権限で任意のコードを実行される（CVE-2026-66406）
  • 通信内容を傍受されたり設定を変更されたりする（CVE-2026-66407、CVE-2026-66410）
  • ロボット本体への物理アクセスにより特定の操作を行われた場合、rootパスワードを取得される（CVE-2026-66408）
  • ホットスポットパスワードを解析され、ロボットのアクセスポイントに接続される（CVE-2026-66409）
  • 当該製品で使用しているQuectel EG25-Gデバイスの既知の脆弱性（CVE-2021-31698）の影響を受け、当該製品上で任意のコードを実行される
  • 認証無しでロボットを操作される（CVE-2026-66411）

開発者によると、本脆弱性の影響を受ける可能性のあるユーザへの周知および対象製品の修正バージョンへのアップデートはすでに完了しているため、ユーザによる追加対応は不要とのことです。
JVN情報　※( )内はCVSS v2の値
深刻度 7.5
CVECVE-2026-66404
公表日2026/07/31 00:00
登録日2026/08/03 18:24
更新日2026/08/03 18:24
CVSS v3情報
…
全ての情報を閲覧するにはユーザー登録（無料）またはログインが必要です。
新規登録
ログイン