Zasięg Bluetootha wystarczał, by przejąć robota Unitree G1 — a klucze w środku należały do producenta

Dwie luki opublikowane w tym tygodniu pozwalały każdemu, kto znalazł się blisko robota Unitree G1 EDU, przejąć nad nim pełną kontrolę — a wśród rzeczy, które można było przy tej okazji wynieść z maszyny, były działające klucze do usług chmurowych, z których robot korzysta. Podatności CVE-2026-76639 i CVE-2026-76640 trafiły do amerykańskiej Narodowej Bazy Podatności 27 sierpnia 2026 roku z oceną groźności 8,8 i 7,5 na 10. Obie dają napastnikowi uprawnienia roota — uid 0, czyli najwyższy poziom dostępu do maszyny — na oprogramowaniu G1 EDU do wersji 1.5.2 włącznie. Żadna nie wymaga hasła, kodu parowania ani jakiegokolwiek działania osoby obsługującej robota. Pierwszy łańcuch zaczyna się na porcie TCP 9991, gdzie robot udostępnia bez uwierzytelnienia mostek między swoim stosem wideo WebRTC a magistralą DDS, którą płyną polecenia ruchu. Klucz AES-128 chroniący ten kanał jest wartością stałą, zapisaną tak, że może go odczytać każde konto w urządzeniu. Mając ten klucz, napastnik może publikować polecenia sterujące, zrestartować usługę wykonującą skrypty powłoki, a przez błąd przejścia po ścieżce w interfejsie wysyłania plików do asystenta konwersacyjnego podłożyć w katalogu tej usługi dowolny własny plik. Drugi wymaga wyłącznie Bluetootha. Serwer BLE robota przyjmuje zapisy bez parowania, a procedura odbierająca nazwę sieci Wi-Fi kopiuje ją do bufora o stałym rozmiarze, nie sprawdzając długości. Przepełnienie tego bufora na przestrzeni kilku połączeń psuje leżący obok wskaźnik funkcji, który ścieżka sprzątająca później wywołuje — przekazując tekst od napastnika prosto do powłoki systemowej z prawami roota. Bardziej niewygodne jest to, do czego ten dostęp sięga. Olivier Laflamme, badacz, który znalazł oba łańcuchy, opisuje, że z czterech przebadanych robotów wyniósł nie tylko mikrofony, kamery i sterowanie napędami, ale też produkcyjne klucze do usług, na których maszyna się opiera: syntezy mowy Amazon Polly, rozpoznawania mowy iFlytek i Aliyun, modelu Doubao firmy ByteDance, serwisu NetEase Music i platformy DashScope Alibaby, a wraz z nimi dostęp do magazynu obiektowego z danymi robota. To konta producenta, nie klienta, który robota kupił. Sama historia zgłoszenia wypada lepiej, niż sugeruje nagłówek. Laflamme przesłał pierwszy łańcuch do Unitree 11 maja 2026 roku, a firma potwierdziła go trzy dni później; drugi poszedł pod koniec czerwca i został potwierdzony w ciągu tygodnia. Poprawki powstawały między 1 lipca a 6 sierpnia, a 26 sierpnia Unitree zgodziło się na publikację opisu. Właściciele robotów z oprogramowaniem 1.5.2 lub starszym powinni je zaktualizować. Jedno ograniczenie warto powiedzieć wprost: żadna z luk nie działa przez otwarty internet. Baza podatności klasyfikuje obie jako ataki z sieci sąsiedniej — napastnik musi być w tej samej sieci lokalnej albo w zasięgu Bluetootha. To znacznie mniejszy zasięg rażenia niż przy zdalnym ataku. A zarazem większy, niż brzmi, dla maszyny zaprojektowanej tak, by wozić ją po salach wykładowych, laboratoriach, targach i pokazach, gdzie siecią lokalną jest to, co akurat udostępnia gospodarz.