Teledyne FLIR 的 PackBot 与 FirstLook 机器人运行的 Aware2 软件被曝出未认证路径遍历漏洞，攻击者无需任何凭据即可远程读取机器人文件系统中的配置与安全参数。该漏洞编号 CVE-2026-55393，CVSS 4.0 评分达到满分 10.0，由 Mandiant 于 10 月 1 日公开披露，厂商已于 9 月 30 日发布修补版本。
事件概述
受影响产品为 Teledyne FLIR 的紧凑型无人地面车辆，广泛用于排爆、侦察与危险环境作业，涉及执法与公共安全场景。此次问题集中在设备上的 Aware2 管理软件：其 Web 服务端点接收用户传入的路径名参数后，未做充分净化即拼接为文件系统路径，形成目录遍历（CWE-22）。
Mandiant 在通告 MNDT-2026-0029 中给出完整影响范围：Aware2（PackBot）6.9.0.2 及之前版本，Aware2（FirstLook）1.7.9 及之前版本。
技术细节
攻击向量为纯网络侧。具有设备 Web 服务网络可达性的攻击者，只需发送带有 ../ 序列的构造请求，即可读取机器人上的任意文件，全程无需认证、无需用户交互，攻击复杂度低。CVSS 4.0 向量为：
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:HMandiant 指出，泄露的配置文件和凭据可用于后续深度利用，包括权限提升，甚至可能进一步演化为针对机器人平台的远程代码执行。
同一批披露还包含 CVE-2026-55395：Aware2 访问控制中存在硬编码密码，攻击者可从固件或配套文档中读取密码，进而远程未认证访问并重新配置受影响的机器人。此外还有 CVE-2026-14984。三者共同说明，该平台在设备身份与访问控制设计上存在系统性问题。
影响评估
CVSS 4.0 满分 10.0 意味着漏洞可远程利用、无需权限，且对机密性、完整性与可用性均造成高影响。真正的风险在于后果而非利用难度：机器人设备的配置文件中往往包含运维凭据与内部网络信息，一旦被读取，攻击者可将其作为跳板向作业现场或指挥网络横向移动。
由于这类设备通常部署在专用网络，实际暴露面取决于其 Web 管理接口是否可从办公网或互联网访问。安全团队应优先排查管理接口的可达性。
修复建议
厂商已于 2026 年 9 月 30 日发布修补后的 Aware2 软件，需通过正式渠道向 Teledyne 索取并尽快部署。无法立即升级时，应采取以下缓解措施：
- 把机器人 Web 管理接口限制在隔离的 OT／机器人专用 VLAN 内，明确禁止对不可信网络暴露；
- 在设备前置防火墙或网关上限制访问源，并对
../等路径遍历特征做请求审计与阻断； - 对机器人网段中的异常 HTTP 请求建立监控与告警，特别关注针对 Web 接口的批量探测。