CVE-2026-76640

Unitree G1 EDU-Firmware bis 1.5.2 enthält mehrere verkettete Schwachstellen im BLE-GATT-Server und im WiFi-Provisioning-Stack, die es nicht authentifizierten Angreifern in unmittelbarer Nähe ermöglichen, ohne Pairing oder Zugangsdaten Root-Codeausführung zu erlangen, indem sie eine nicht in Anführungszeichen gesetzte Heredoc-Variable im WiFi-Provisioning-Skript und einen Pufferüberlauf im SSID-Chunk-Akkumulator ausnutzen. Angreifer können manipulierte BLE-Schreibvorgänge senden, um einen festen BSS-Puffer über BLE-Verbindungen hinweg zum Überlauf zu bringen, wodurch ein benachbarter mainloop-Funktionszeiger-Dispatch-Eintrag überschrieben wird, der anschließend vom Bereinigungspfad aufgerufen wird und dabei vom Angreifer kontrollierte Daten als uid 0 an system() übergibt.