Zwei Root-Angriffsketten auf Unitree G1 EDU: eine über Netzwerk, eine über Bluetooth

Am 27. August 2026 veröffentlichte der Forscher Olivier Laflamme Details zu zwei unabhängigen Exploit-Ketten, die eine Codeausführung mit Root-Rechten auf dem Locomotion-PC des humanoiden Roboters Unitree G1 EDU ermöglichen. Die als CVE-2026-76639 und CVE-2026-76640 verfolgten Schwachstellen nehmen unterschiedliche Wege: Die erste nutzt einen lokalen Netzwerkfehler aus, die zweite geht von der Nähe über Bluetooth Low Energy aus und lief in ihrer ursprünglichen Form über eine Lücke im Cloud-Dienst von Unitree.

Die netzwerknahe Kette: von chat_go zu Root

CVE-2026-76639 hat einen netzwerknahen Vektor: Ein Angreifer muss sich im selben Netzwerk wie der Roboter befinden. Die Schwachstelle ist eine Path-Traversal-Bedingung in der Komponente chat_go. Durch ihre Ausnutzung gelangt man zu bashrunner, einer ausführbaren Datei, die das Starten von Befehlen mit Root-Rechten auf dem Locomotion-PC ermöglicht. Das Ergebnis ist eine eigenständige Remote-Code-Ausführung.

Die CVE hat einen CVSS-Score von 8,8 mit dem Vektor AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. In der Praxis: keine Authentifizierung erforderlich, keine Benutzerinteraktion, volle Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Angriffskomplexität ist gering, sobald der Zugriff auf das lokale Netzwerk erlangt wurde.

Dieselbe Path-Traversal-Primitive wurde von Laflamme anschließend als Bestandteil der zweiten, Bluetooth-basierten Kette wiederverwendet.

Die BLE-Kette: Von physischer Nähe über die Cloud zum Root

CVE-2026-76640 geht von einer anderen Voraussetzung aus: der physischen Nähe zum Roboter. Das anfängliche Schreiben über Bluetooth Low Energy akzeptiert die Bootstrap-Interaktion, ohne ein Bluetooth-Pairing zu verlangen. Das Bootstrap-Material bleibt geschützt, aber die anschließenden Wi-Fi-Provisionierungsvorgänge erfordern einen authentifizierten BLE-Zustand der Anwendung. Um diesen Schritt zu überwinden, nutzte der Forscher einen Fehler in der Unitree-Cloud aus.

Während der Untersuchung akzeptierte der Cloud-Dienst einen gültigen Unitree-Account für die Anforderung zur Schlüsselwiederherstellung, ohne zu überprüfen, ob der Account mit dem Roboter verknüpft war, dessen Schlüssel angefordert wurden. Dadurch ließen sich Schlüssel erhalten, die einem fremden G1 EDU zugeordnet waren. Mit dem wiederhergestellten Schlüssel wurde der authentifizierte BLE-Zustand hergestellt. An diesem Punkt erreichte die Kette den Wi-Fi-Provisionierungscode, wo ein Pufferüberlauf die Root-Ausführung auf dem Locomotion-PC erzeugte.

Der CVSS-Score für diese CVE beträgt 7,5 mit dem Vektor AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H. Die Komplexität ist hoch, da mehrere Schritte erforderlich sind, aber die anfängliche Hürde bleibt allein die physische Nähe. Der Ausbreitungstest wurde auf zwei G1-Roboter in einem Raum beschränkt.

Die teilweise Behebung: Die Cloud wurde repariert, die Firmware nicht

Unitree hat im Juli 2026 die Eigentumsprüfung des Cloud-Kontos korrigiert. Zum 27. August 2026 erfordert der cloudgestützte Weg ein Konto, das mit dem Ziel-G1 verknüpft ist, oder den Besitz des Schlüsselmaterials. Diese Änderung unterbricht den Proof-of-Concept der BLE-Kette, wie er demonstriert worden war.

Auf der Firmware-Seite wurde jedoch kein korrigierendes Release in den öffentlichen Hinweisen von Unitree bestätigt. Besitzer eines G1 EDU haben kein bestätigtes Versionsziel. Das Update des Testroboters auf V1.5.2 allein belegt nicht, dass die vorherige Version V1.5.1.1 betroffen ist. The Hacker News hat Unitree kontaktiert, um Firmware-Versionen, den Umfang der Anwendbarkeit und den Stand der Behebung zu klären. Eventuelle Antworten werden den Artikel aktualisieren.

Wer ist betroffen und was kann ein Besitzer tun

Das betroffene Produkt ist das Modell G1 EDU, das von der offiziellen Unitree-Seite vom Standard-G1 unterschieden wird. Die Anwendbarkeit auf andere Unitree-Roboter ist nicht bestätigt. Die CVEs betreffen den Locomotion-PC, die Komponente, die die Bewegung des Roboters steuert.

Solange kein verifizierter Firmware-Patch verfügbar ist, können Besitzer das Risiko verringern, indem sie die Netzwerkexposition des Locomotion-PCs einschränken, beispielsweise durch Isolierung vom LAN oder durch Blockieren des Datenverkehrs zu chat_go. Für den BLE-Vektor ist es sinnvoll, Bluetooth zu deaktivieren, wenn es nicht benötigt wird, und den Roboter in physisch kontrollierten Bereichen zu halten. Es ist nicht bekannt, ob die beiden CVEs in den Katalog Known Exploited Vulnerabilities (KEV) der CISA aufgenommen wurden.

Zwei unabhängige Vektoren, dieselbe Konsequenz

Die beiden von Laflamme beschriebenen Ketten teilen das Endziel: Root-Codeausführung auf dem Locomotion-PC. Der netzwerknahe Vektor erfordert Zugriff auf das lokale Netzwerk; der BLE-Vektor senkt die Hürde auf die bloße physische Nähe. Die inzwischen behobene Cloud-Lücke ermöglichte es, Schlüssel zwischen Robotern wiederherzustellen, und verwandelte einen Näherungsangriff in einen groß angelegten Diebstahl von Zugangsdaten.

Die Schwachstellen verteilen sich auf verschiedene Komponenten: chat_go, bashrunner, die Wi-Fi-Provisionierung und den Cloud-Dienst. Das macht die Gesamtschwachstelle schwieriger mit einer einzigen Maßnahme zu beheben. Derzeit ist die einzige bestätigte Korrektur die auf der Cloud-Seite. Der Rest wartet auf eine offizielle Antwort von Unitree.