一、 漏洞 CVE-2025-68271 基础信息
漏洞信息
# openc3-api 未授权远程代码执行漏洞
## 概述
OpenC3 COSMOS 从 5.0.0 到 6.10.1 版本中存在一个可通过 JSON-RPC API 触发的严重远程代码执行漏洞。
## 影响版本
受影响版本：5.0.0 至 6.10.1
已修复版本：6.10.2
## 细节
当 JSON-RPC 请求使用特定 API 的字符串形式时，用户可控的参数文本会通过 `String#convert_to_value` 方法进行解析。对于类数组输入，`convert_to_value` 会调用 `eval()` 执行代码。由于命令处理流程在调用 `authorize()` 之前已对命令字符串进行解析，攻击者可在未经认证的情况下触发 Ruby 代码执行，尽管请求最终会因未通过授权而返回 401。
## 影响
未经身份验证的远程攻击者可利用该漏洞在目标系统上执行任意 Ruby 代码，导致远程代码执行（RCE）。
神龙判断
是否为 Web 类漏洞： 未知
判断理由：
N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Unauthenticated Remote Code Execution in openc3-api
来源：美国国家漏洞数据库 NVD
漏洞描述信息
OpenC3 COSMOS provides the functionality needed to send commands to and receive data from one or more embedded systems. From 5.0.0 to 6.10.1, OpenC3 COSMOS contains a critical remote code execution vulnerability reachable through the JSON-RPC API. When a JSON-RPC request uses the string form of certain APIs, attacker-controlled parameter text is parsed into values using String#convert_to_value. For array-like inputs, convert_to_value executes eval(). Because the cmd code path parses the command string before calling authorize(), an unauthenticated attacker can trigger Ruby code execution even though the request ultimately fails authorization (401). This vulnerability is fixed in 6.10.2.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
来源：美国国家漏洞数据库 NVD
漏洞类别
动态执行代码中指令转义处理不恰当(Eval注入)
来源：美国国家漏洞数据库 NVD
漏洞标题
OpenC3 COSMOS 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
OpenC3 COSMOS是OpenC3开源的一个应用程序。 OpenC3 COSMOS 5.0.0版本至6.10.1版本存在安全漏洞，该漏洞源于JSON-RPC API中String#convert_to_value对攻击者控制的参数文本解析不当，可能导致未经身份验证的攻击者触发Ruby代码执行。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-68271 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
三、漏洞 CVE-2025-68271 的情报信息
标题： Unauthenticated Remote Code Execution in openc3-api · Advisory · OpenC3/cosmos · GitHub -- 🔗来源链接
标签：x_refsource_CONFIRM
神龙速读：### 漏洞关键信息 - **漏洞名称**: Unauthenticated Remote Code Execution in openc3-api - **严重性**: Critical - **CVE ID**: CVE-2025-68271 - **影响版本**: 5.0.6-6.10.1 - **修复版本**: 6.10.2 - **发布者**: ryanmelt - **发布时间**: 最后一周 #### 漏洞描述 OpenC3 COSMOS 含有一个严重级别的远程代码执行漏洞，可以通过 JSON-RPC API 进行攻击。当 JSON-RPC 请求使用某些 API 的字符串形式时，攻击者控制的参数文本会被解析为值，使用 String#convert_to_value 方法进行转换。对于数组输入，convert_to_value 方法会执行 eval()。 由于命令代码路径在调用 authorize() 之前解析命令字符串，即使请求最终未通过授权（401），未认证的攻击者仍可以触发 Ruby 代码执行。 #### 漏洞评估 (CVSS v3) - **攻击向量**: Network - **攻击复杂度**: Low - **所需权限**: None - **用户交互**: None - **作用范围**: Changed - **机密性影响**: High - **完整性影响**: High - **可用性影响**: High #### 关联弱点 - CWE-94 - CWE-95 #### 报告者 - GhostPowerShell
- https://nvd.nist.gov/vuln/detail/CVE-2025-68271
四、漏洞 CVE-2025-68271 的评论
暂无评论