Unitree G1: RCE via Bluetooth senza pairing, catena di 5 bug in robot umanoide

Il 27 agosto 2026 il ricercatore di sicurezza noto come Boschko ha pubblicato i dettagli completi di due vulnerabilità nel robot umanoide Unitree G1 EDU che consentono l'esecuzione remota di codice con privilegi root. La catena d'attacco più articolata, tracciata come CVE-2026-76640, attraversa cinque bug consecutivi partendo da Bluetooth Low Energy senza alcun requisito di accoppiamento, attraversa l'infrastruttura cloud del vendor e termina con il controllo totale del sistema locomotore, delle telecamere e dell'audio del robot.

La catena BLE-to-root: cinque anelli deboli

Il nucleo di CVE-2026-76640 è una catena multi-hop che attraversa confini di trust normalmente separati. Il primo anello è l'interfaccia Bluetooth Low Energy del G1 EDU: la caratteristica GATT 0xFFE2 espone permessi di scrittura senza richiedere pairing, secondo quanto documentato nel blog del ricercatore. Da qui, l'opcode bootstrap 0xF2 restituisce in chiaro la chiave AES-128 del robot, incapsulata in una risposta cifrata con RSA.

Il secondo anello è un difetto di autorizzazione nell'endpoint cloud /device/bindExtData: decrittava il blob per qualsiasi account Unitree autenticato senza verificare la proprietà del numero di serie associato. Come riporta GBHackers citando la ricerca, "merely being near the target was enough to recover the unique secret". Unitree ha successivamente aggiunto il controllo di corrispondenza account-proprietà.

Il terzo e quarto anello agiscono sul firmware locale. Una PSK di 121 byte forza il fallback WiFi manuale attraverso lo script wpa_connect.sh, dove un heredoc non quotato permette l'injection di configurazione nel demone wpa_supplicant. La riconfigurazione forzata del WiFi apre poi il percorso verso un information leak da /proc e infine al buffer overflow nel servizio btgatt-server, che gira come root: 1.050 byte scritti in un buffer wifi_ssid di 500 byte.

Il quinto anello è l'esecuzione effettiva. L'exploit corrompe lo stato di cleanup dell'event loop epoll_terminate, causando l'esecuzione di system() con privilegi root. La shell sopravvive al crash del servizio Bluetooth, lasciando accesso persistente.

CVE-2026-76639: la seconda porta d'ingresso

In parallelo, CVE-2026-76639 traccia un vettore d'attacco distinto ma convergente sullo stesso obiettivo: RCE come root. Secondo l'advisory di The Hacker Wire, la vulnerabilità ha CVSS 8.8 con vettore AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H e interessa il firmware G1 EDU fino alla versione 1.5.2.

Il meccanismo sfrutta un path traversal nel modulo chat_go per la knowledge-base: consente la scrittura arbitraria di file nella directory whitelist del servizio bashrunner, che esegue come root con regole estensione-agnostiche. Il bridge WebRTC-to-DDS sulla porta TCP 9991 è inoltre non autenticato e permette la pubblicazione di messaggi DDS di controllo.

The Hacker Wire segnala inoltre la presenza di una chiave AES-128 statica con permessi world-readable sul dispositivo. Questo elemento, combinato con l'architettura del Locomotion PC che esegue kernel Linux real-time con servizi come root gestendo motori, telecamere, audio e voce, amplifica la superficie d'impatto oltre la pura compromissione computazionale.

"Root on a $20,000 humanoid robot from Bluetooth range. One chain crossing Bluetooth, Unitree's cloud, mobile, and the firmware running the G1 itself." — Boschko

Wormabilità: da vulnerabilità locale a rischio di rete fisica

Boschko ha etichettato esplicitamente l'exploit come "wormable": il codice può propagarsi autonomamente da un G1 compromesso al successivo in raggio Bluetooth. La dichiarazione, riportata nel suo blog originale, è precisa: "once one G1 is compromised, it can spread the same exploit to the next G1 in range, and so on indefinitely".

Questa caratteristica trasforma il profilo di rischio. Non si tratta più della compromissione di un singolo dispositivo in un contesto di attacco mirato, ma di un potenziale vettore di propagazione in ambienti con multipli robot: magazzini logistici, showroom commerciali, laboratori di ricerca. Il ricercatore ha riprodotto i bug su 4 unità G1 e ha ricevuto bounty tra 5.000 e 6.700 dollari da Unitree, confermando la validazione vendor delle catene d'attacco.

Il dossier non specifica la portata effettiva della wormabilità in condizioni reali con interferenze ambientali o limiti di distanza Bluetooth. Non emergono inoltre evidenze di exploitation attivo nel campo.

Cosa fare adesso

• Verificare la versione firmware installata sui robot G1 EDU in produzione: CVE-2026-76639 interessa versioni fino alla 1.5.2 secondo l'advisory di The Hacker Wire.
• Valutare la disabilitazione dell'interfaccia Bluetooth Low Energy in ambienti dove il provisioning via mobile non è necessario all'esercizio, riducendo la superficie d'attacco della catena CVE-2026-76640.
• Isolare il traffico del bridge WebRTC-to-DDS su TCP 9991 tramite segmentazione di rete, dato che il servizio è non autenticato secondo la documentazione tecnica disponibile.
• Contattare Unitree per verificare lo stato di distribuzione delle patch complete sul proprio parco robot: le fonti indicano "most, if not all" delle vulnerabilità correse, ma lo stato attuale potrebbe differire.

Il problema della composizione in robotica commerciale

Il caso G1 EDU non è un bug isolato ma una dimostrazione strutturale. Ogni singolo anello della catena—BLE senza pairing, cloud API con autorizzazione incompleta, script shell non quotati, buffer overflow in servizio root—è tecnicamente contenibile. La composizione di questi controlli deboli in layer diversi (radio, cloud, firmware, shell scripting) produce invece un impatto moltiplicato che non è leggibile analizzando i singoli componenti.

Il ricercatore ha sottolineato la complessità correttiva in una citazione rivolta al team sicurezza di Unitree: "These are genuinely complex bugs to fix", riferendosi alla triage e remediation. Questo elemento contraddice la narrazione secondo cui i vendor robotici possano distribuire patch rapide come in software consumer: l'intersezione tra sicurezza fisica, safety-critical e aggiornabilità remota in piattaforme con kernel real-time introduce vincoli di stabilizzazione che i programmi di disclosure devono anticipare.

Il prezzo commerciale del G1, circa 20.000 dollari con disponibilità su canali di retail come Amazon, abbassa la soglia di accesso a un hardware che fino a pochi anni fa era confinato in laboratori industriali. La democratizzazione della robotica umanoide senza corrispondente maturità nei cicli di sicurezza crea una finestra in cui vulnerabilità documentate pubblicamente possono essere replicate da attori con risorse moderate, senza necessità di exploit zero-day.

Fonti

• https://gbhackers.com/unitree-g1-humanoid-robot-flaws/
• https://boschko.ca/g1-ble-rce/
• https://www.thehackerwire.com/unitree-g1-edu-firmware-rce-cve-2026-76639/
• https://gbhackers.com/hackers-can-buy-corporate-executives-social-security-numbers/amp/
• https://security.unitree.com/?ref=boschko.ca
• https://gbhackers.com/critical-bluetooth-protocol-vulnerabilities/
• https://gbhackers.com/mcp-recon-with-cloud-metadata-ssrf/
• https://any.run/threat-intelligence-lookup/?utm_source=csn&utm_medium=100+links&utm_campaign=lookup+tier+1&utm_content=ti+lookup+sales&utm_term=190826#contact-sales

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti