Уязвимости в Unitree G1 позволяват превземане по Bluetooth

Изследователят по сигурност Оливие Лафлам публикува на 27 август подробен разбор на две уязвимости в хуманоидния робот Unitree G1 EDU, които дават пълен root достъп до машината без никаква автентикация. Едната атака тръгва от обикновена Bluetooth Low Energy връзка в радиус на устройството и — това е най-неприятната част — може да се разпространява сама от заразен робот към следващия G1 наблизо. Двата проблема получиха номерата CVE-2026-76639 и CVE-2026-76640, а The Hacker News потвърди, че Unitree е приела и запушила и двете вериги.

Снимка: Unitree Robotics

Какво точно е счупено

Първата уязвимост, CVE-2026-76639, е класически path traversal. AI услугата chat_go приема файлове за базата от знания на робота, но не чисти пътя. С последователност от типа ../../../../../unitree/module/bashrunner/ атакуващият записва свой скрипт в директорията, от която модулът bashrunner изгражда белия си списък при стартиране. Тъй като bashrunner не гледа разширения, а изпълнява по правилата на shell-а, файлът тръгва като root при следващия рестарт на услугата.

Втората, CVE-2026-76640, е верига от пет отделни пропуска и е далеч по-интересна. Ето я накратко:

• GATT характеристиката 0xFFE2 приема записи само с обикновено WRITE разрешение — без сдвояване, без автентикация;
• BLE опкод 0xF2 връща AES-128 ключа на конкретния робот, опакован с RSA;
• облачният endpoint /device/bindExtData издава ключов материал на всеки валиден акаунт в Unitree, без да проверява дали акаунтът притежава конкретния робот;
• heredoc инжекция в конфигурацията на Wi-Fi прехвърля робота към мрежата на атакуващия;
• препълване на буфер от 1050 байта в BSS сегмента поврежда указател към функция в event loop-а и води до извикване на system() като root.

Резултатът: всеки в Bluetooth обхват може да поеме машина за десетки хиляди евро, без изобщо да е бил в същата мрежа.

Защо се разпространява между роботите

Компрометираният G1 разполага със същия Bluetooth радиомодул, с който е бил превзет. Нищо не му пречи да сканира за съседни G1 и да повтори веригата върху тях. Лафлам нарича изследването UniBLEed именно заради това — пълният технически разбор описва поведението като wormable, тоест саморазпространяващо се.

Тук моделът на заплахата се променя качествено. Един хакнат робот е инцидент. Склад, изложение или университетска лаборатория с двайсет машини в общо помещение е верижна реакция, при която не е нужно нападателят да остане на място.

Останалата част от архитектурата не помага. На така наречения Locomotion PC работят 28 услуги, всичките като root, върху ядро с реално време. Комуникацията между тях минава през CycloneDDS на Domain 0 — без автентикация и без списъци за достъп. WebRTC мостът на порт 9991 теоретично пази входа, но използва симетрично AES криптиране със същия ключ, който BLE bootstrap-ът раздава безплатно.

Реакцията на Unitree

Тук новината е по-скоро добра. По хронологията на изследователя фърмуерът е изваден от публичния CDN на компанията през май, първата RCE верига е готова на 8–10 май, втората е демонстрирана на 25 юни, а на 6 август Unitree е платила наградата и е разположила поправките. Проверката „акаунт срещу робот“ в облака е оправена още през юли.

Проблемът е в комуникацията: към момента няма ясно публично указание коя точно версия на фърмуера е поправена. Собствениците на G1 EDU остават без конкретна цел за обновяване — знаят, че има кръпка, но не и срещу кой билд да я сверят. Лафлам изрично уточнява, че е тествал два робота в едно помещение и не твърди, че изводите важат за целия каталог на Unitree.

Втори случай за по-малко от година

Това не е първият подобен разбор. Уязвимостта UniPwn — root по BLE в Go2, B2, G1 и H1 — беше публикувана през септември 2025 г. от Андреас Макрис и Кевин Финистер, а месец по-късно Alias Robotics с ръководител Виктор Майорал-Вилчес показа същата схема при G1: отново Bluetooth провизирането на Wi-Fi, еднакъв 128-битов ключ за всички устройства и телеметрия (видео, аудио, LIDAR, GPS), изпращана на китайски сървъри на всеки пет минути през порт 17883. Схемата се повтаря почти буквално: сдвояване, което вярва на всеки, и ключове, които не са уникални за устройството. Същият шаблон видяхме и при фабричните импланти в китайските рутери ZBT.

Контекстът прави нещата по-спешни. TechCrunch съобщи, че китайските автопроизводители масово влизат в хуманоидните роботи — Xpeng вдигна над 900 млн. долара за роботичното си подразделение при оценка над 6,3 млрд., BYD показа робота Xiao Di, а AiMOGA на Chery се готви за борсов дебют. Индустрията расте много по-бързо от практиките си по сигурност, а роботите вече не са само в лаборатории — те и изпълняват команди на AI агенти върху реална апаратура.

Заключение

Базовият G1 се продава в европейските магазини за около 23 000 евро без ДДС, а EDU версиите тръгват от близо 37 400 евро с ДДС и стигат доста по-високо. За тези пари получавате машина, чиито 28 root услуги си говорят без автентикация и чийто Bluetooth стек допуска изпълнение на код от всеки минувач. Unitree реагира бързо и професионално — но както отбелязва самият Лафлам, погледнете колко роботични компании изобщо наемат хора по сигурност. Отговорът е: почти никакви. Ако имате G1 в лаборатория или склад, най-разумното днес е да го държите в отделен VLAN и да изключвате Bluetooth, когато не ви трябва.