Was ist passiert?
Der Sicherheitsforscher Olivier Laflamme hat zwei kritische Schwachstellen im Unitree G1 EDU Humanoid-Roboter aufgedeckt, die unautorisierten Root-Zugriff ermöglichen. Die als CVE-2026-76639 und CVE-2026-76640 registrierten Flaws erlauben Remote Code Execution (RCE) über unterschiedliche Angriffsvektoren – einer davon nutzt Bluetooth Low Energy (BLE) zur Kompromittierung des Locomotion PC des Roboters.
Hintergrund & Bedeutung
Der erste Angriffsvektor läuft über die Komponenten „chat_go“ und „bashrunner“ und benötigt nur Netzwerk-Nähe zum Roboter. Die BLE-basierte Schwachstelle stellt eine noch kritischere Bedrohung dar, da Bluetooth-Verbindungen aus größerer Entfernung möglich sind und weniger Voraussetzungen erfordern. Humanoid-Roboter werden zunehmend in Forschungs- und Bildungseinrichtungen eingesetzt – eine Kompromittierung könnte nicht nur zu Datenverlust, sondern auch zu physischen Sicherheitsrisiken führen. Diese Flaws zeigen, dass IoT- und Robotik-Geräte häufig ohne angemessene Sicherheitsmaßnahmen entwickelt werden.
Empfehlungen für IT-Teams
Sofortmaßnahmen: Betroffene Unitree G1 EDU Roboter vom Netz trennen bis Patches verfügbar sind. Netzwerk-Kontrollen: BLE-Kommunikation in sensitive Netzwerkbereichen einschränken oder unterbinden. Monitoring: Ungewöhnliche Zugriffe auf Robot-Management-Systeme protokollieren. Updates: Hersteller-Updates und Security-Patches zeitnah einspielen. Segmentierung: Roboter-Systeme isoliert von kritischen IT-Infrastrukturen betreiben.
Fazit
Diese Schwachstellen unterstreichen die Notwendigkeit verbesserter Security in autonomen Systemen und IoT-Geräten. Organisationen sollten Roboter-Deployments kritisch überprüfen und entsprechende Schutzmaßnahmen implementieren.