Twee aanvalsroutes bedreigen de Unitree G1 EDU

De openbaar gemaakte analyse van beveiligingsonderzoeker Olivier Laflamme, die in augustus 2026 onder de naam ‘UniBLEed’ naar buiten kwam, beschrijft twee afzonderlijke aanvalsketens tegen Unitree G1 EDU-firmware tot en met versie 1.5.2. De ene begint bij een niet-geauthenticeerde aanvaller in Bluetooth-bereik; de andere maakt gebruik van netwerkdiensten en de kennisbankfunctie chat_go. In beide gevallen zou de aanvaller uiteindelijk roottoegang kunnen krijgen op de Locomotion PC van de robot. 158

Dat is ingrijpender dan een gehackte app of een misbruikte Bluetooth-sessie. De Locomotion PC ondersteunt functies die direct met de robot te maken hebben, waaronder de motoren, camera’s, audio en spraak. 513

CVE-2026-76640: van Bluetooth naar root

De BLE-kwetsbaarheid is de opvallendste van de twee, omdat een aanvaller niet eerst toegang tot het lokale robotnetwerk nodig heeft. Volgens de meldingen kan iemand in de buurt communiceren met blootgestelde GATT-functionaliteit zonder de robot te koppelen en zonder bestaande robotinloggegevens. 5813

De aanval is een keten van meerdere zwakke plekken:

• Een Unitree-cloudendpoint zou een gratis account in staat hebben gesteld de AES-128-sleutel van een G1 op te vragen, zonder voldoende te controleren of dat account daadwerkelijk eigenaar was van de betreffende robot. 811
• Met die toegang kon een aanvaller beschermde BLE-functies aanspreken, een vooraf gedeelde sleutel injecteren en een alternatieve wifi-provisioningprocedure starten. 811
• Onveilige verwerking van provisioninggegevens — waaronder een niet-gequote variabele in een heredoc — kon vervolgens worden gecombineerd met fouten in de BLE- en wifi-provisioningstack. Dat maakte volgens de beschrijvingen willekeurige commando-uitvoering als root mogelijk. 511

Openbare kwetsbaarheidsbeschrijvingen noemen daarnaast een buffer-overflow in de verwerking van SSID-gegevens. Daarmee kon een aangrenzende functiepointer in de dispatch-tabel worden overschreven. Die pointer werd vervolgens gebruikt om door aanvallers gecontroleerde gegevens via system() met rootrechten uit te voeren. 35

Waarom de afstandseis belangrijk is

Een aanvaller moet fysiek dichtbij genoeg zijn om via Bluetooth te communiceren, maar heeft niet per se voorafgaande credentials of een bestaande koppeling nodig. Dat verandert het risicoprofiel voor robots in bijvoorbeeld demonstratieruimtes, laboratoria, magazijnen en gedeelde faciliteiten.

De onderzoekers wezen ook op een mogelijk wormachtige verspreiding: een overgenomen G1 zou in theorie naar andere kwetsbare G1-robots in de buurt kunnen zoeken en die aanvallen. Dat is een gevolgtrekking over de mogelijkheden van de aanvalsketen, geen bewijs dat een dergelijke worm daadwerkelijk in het wild is ingezet. 58

De zorgen sluiten aan bij eerdere meldingen over verwante Unitree-firmware. Daarin werd beschreven hoe kwaadaardige wifi-configuratiegegevens na een BLE-provisioningsessie tot commando-injectie konden leiden.

CVE-2026-76639: de afzonderlijke route via chat_go

CVE-2026-76639 gebruikt een ander ingangspunt. De National Vulnerability Database (NVD) beschrijft G1 EDU-firmware tot en met versie 1.5.2 als kwetsbaar voor een niet-geauthenticeerde root-RCE-keten die vanaf een aangrenzend netwerk kan worden gestart. De keten bestaat uit drie zwakke plekken: een onbeveiligde WebRTC-naar-DDS-bridge op TCP-poort 9991, een statische AES-128-sleutel met te ruime bestandsrechten en path traversal in de API voor kennisuploads van chat_go. 1

Op hoofdlijnen kan de path-traversal-fout een aanvaller in staat stellen een kwaadaardig bestand te plaatsen in een map die door bashrunner op de witte lijst staat. De dienst voert dat bestand vervolgens als root uit. Zo verandert een fout bij het plaatsen van bestanden in daadwerkelijke code-uitvoering. 14

Deze route vereist niet dat de aanvaller zich naast de robot bevindt. De praktische blootstelling hangt er vooral van af hoe bereikbaar de netwerkdiensten van de robot zijn en of niet-vertrouwde apparaten ermee kunnen communiceren.

Wat kan een succesvolle aanval blootleggen?

Roottoegang op de Locomotion PC kan controle geven over software die met belangrijke robotfuncties is verbonden. In de berichtgeving worden onder meer locomotie en motoren, camera’s, microfoons, audioweergave en spraakfuncties genoemd. 513

Daarmee ontstaan zowel cyberveiligheids- als fysieke veiligheidsrisico’s. Een gecompromitteerde robot zou mogelijk kunnen worden gebruikt voor surveillance, ongeautoriseerde audio of spraak, verstoring van de dienstverlening of onveilige bewegingen. De beschikbare bronnen onderbouwen wel de gevoeligheid van de betrokken systemen, maar tonen niet aan dat een specifieke G1 is aangevallen of dat er een gevaarlijk incident in de echte wereld heeft plaatsgevonden.

Reactie van Unitree en wat nog onduidelijk is

Volgens openbare berichtgeving heeft Unitree de bevindingen gevalideerd en patches uitgebracht. 6 Andere berichtgeving meldt dat in juli 2026 een controle is toegevoegd die accounts aan de juiste robot moet koppelen. 12 In het beschikbare materiaal ontbreekt echter een leveranciersadvies waarin voor beide CVE’s een specifieke, opgeloste G1 EDU-firmwareversie wordt genoemd.

Het in de CVE-informatie vastgelegde getroffen bereik loopt tot en met firmwareversie 1.5.2. 15 Een exacte release waarvan onafhankelijk is bevestigd dat die alle onderdelen van beide aanvalsketens verhelpt, is in de beschikbare richtlijnen niet teruggevonden. 8

Beheerders moeten er daarom niet zonder meer van uitgaan dat een niet nader gespecificeerde ‘laatste’ update beide kwetsbaarheden oplost. Controleer de geïnstalleerde versie en vraag Unitree om een expliciete bevestiging.

Aanbevolen stappen voor beheerders van een G1 EDU

1. Verifieer de oplossing bij Unitree. Vraag welke exacte firmwareversie(s) CVE-2026-76639 en CVE-2026-76640 verhelpen en controleer daarna de versie op iedere robot.
2. Beperk fysieke blootstelling. Houd getroffen robots totdat de oplossing is bevestigd weg van onbevoegde personen en andere kwetsbare G1-units. Schakel BLE-provisioning uit als dat operationeel haalbaar is.
3. Segmenteer het robotnetwerk. Plaats G1-systemen op geïsoleerde netwerken met toegangscontrole en blokkeer onnodige inkomende toegang tot beheer-, WebRTC/DDS- en provisioningdiensten.
4. Beperk bestandsuploads. Schakel uploads naar de chat_go-kennisbank uit of beperk ze waar mogelijk. Controleer ook de door bashrunner toegestane mappen en servicebestanden op onverwachte wijzigingen.
5. Onderzoek mogelijke blootstelling. Behandel een onverklaarbare inbraak als een mogelijk incident op rootniveau: roteer relevante inloggegevens en sleutels, controleer logs en bestandswijzigingen en installeer de robot zo nodig opnieuw vanaf een vertrouwde bron van de leverancier.

De belangrijkste les van UniBLEed is dat robotbeveiliging niet ophoudt bij de Bluetooth-interface. Een cloudcontrole, provisioning-script of uploadfunctie voor een AI-kennisbank kan uiteindelijk een toegangspad worden naar het systeem dat de fysieke machine bestuurt als authenticatiegrenzen en uitvoerrechten niet overal consequent zijn afgeschermd.