Phát hiện hai lỗ hổng nghiêm trọng trên robot hình người Unitree G1 EDU cho phép chiếm quyền điều khiển từ xa

Nhà nghiên cứu bảo mật Olivier Laflamme đã công bố chi tiết về hai chuỗi lỗ hổng Remote Code Execution (RCE) độc lập ảnh hưởng đến dòng robot hình người Unitree G1 EDU. Các lỗ hổng này cho phép kẻ tấn công giành quyền truy cập root trên hệ thống Locomotion PC của robot.

Hai lỗ hổng này được định danh là CVE-2026-76639 và CVE-2026-76640. Trong đó, CVE-2026-76639 liên quan đến một đường dẫn mạng thông qua các thành phần chat_go và bashrunner, còn CVE-2026-76640 bắt đầu từ việc khai thác khoảng cách gần qua giao thức Bluetooth Low Energy (BLE).

Chi tiết kỹ thuật về các lỗ hổng

Theo báo cáo, CVE-2026-76639 tận dụng một lỗi path-traversal trong chat_go để tiếp cận bashrunner, từ đó thực thi mã lệnh với quyền root trên Locomotion PC. Trong khi đó, CVE-2026-76640 khai thác một lỗ hổng buffer overflow trong quá trình cung cấp Wi-Fi (Wi-Fi provisioning).

Đáng chú ý, chuỗi tấn công thứ hai bắt đầu bằng việc tương tác với BLE mà không yêu cầu ghép nối (pairing). Kẻ tấn công có thể lợi dụng một lỗ hổng trong cơ chế xác thực của dịch vụ đám mây Unitree – vốn không kiểm tra quyền sở hữu robot đối với tài khoản được cung cấp – để khôi phục các khóa bảo mật (key material) của thiết bị khác, từ đó thiết lập trạng thái BLE đã xác thực cần thiết để thực hiện tấn công.

Tình trạng khắc phục

Laflamme cho biết Unitree đã vá lỗ hổng kiểm tra quyền sở hữu robot trên đám mây vào tháng 7 năm 2026. Tuy nhiên, tính đến thời điểm công bố vào cuối tháng 8, vẫn chưa có thông tin xác nhận về phiên bản firmware cụ thể đã khắc phục triệt để các lỗ hổng này. Người dùng G1 EDU hiện vẫn đang chờ đợi các hướng dẫn chính thức từ nhà sản xuất.

Hiện tại, phạm vi ảnh hưởng của các lỗ hổng này đối với các dòng robot khác của Unitree vẫn chưa được xác nhận. Các chuyên gia khuyến cáo người dùng nên theo dõi sát sao các bản cập nhật firmware từ Unitree để bảo vệ thiết bị trước các nguy cơ bị chiếm quyền điều khiển.

Nguồn tham khảo: The Hacker News