Unitree G1 EDU曝出两条提权链：近距离蓝牙攻击可夺取机器人Root权限

2026年8月，安全研究人员Olivier Laflamme披露了名为“UniBLEed”的研究结果，指出Unitree G1 EDU机器人固件最高至1.5.2存在两条彼此独立的Root级远程代码执行攻击链：一条从近距离蓝牙低功耗（BLE）通信开始，另一条则利用网络邻近服务和机器人的chat_go知识库功能。两条路径最终都可能控制机器人的Locomotion PC，而不只是配套应用或蓝牙连接。 158

这一区别非常关键。Locomotion PC是机器人的Linux系统之一，连接着电机、摄像头、音频和语音等与运行安全相关的功能。 513

CVE-2026-76640：从近距离BLE到Root权限

BLE攻击链的特殊之处在于，攻击者不必先进入机器人的局域网。公开披露称，处于蓝牙通信范围内的攻击者可以与暴露的GATT功能交互，且不需要先完成配对，也不一定需要机器人凭据。 5813

这条攻击链由多个弱点串联而成：

• 据披露，Unitree云端接口允许免费账户获取某台G1的AES-128密钥，却没有充分验证该账户是否拥有目标机器人。 811
• 获得相关访问能力后，攻击者可以触达受保护的BLE操作、注入预共享密钥，并调用备用Wi-Fi配网流程。 811
• 配网数据处理不安全——其中包括未加引号的heredoc变量——可与BLE及Wi-Fi配网组件中的其他缺陷结合，最终实现以Root身份执行任意命令。 511

公开漏洞描述还提到SSID处理路径中的缓冲区溢出。该溢出可能破坏相邻的函数指针分发条目，随后通过调用system()执行攻击者控制的数据，并获得Root权限。 35

为什么“只需在附近”很重要

攻击者需要在足够近的物理距离内使用蓝牙通信，但未必需要已有账户、凭据或配对关系。对于用于公开展示、实验室、仓库或共享场所的机器人，这会改变其实际风险边界。

研究还提出了一种潜在的“蠕虫式”传播场景：被攻陷的G1理论上可以扫描并攻击附近其他存在漏洞的G1。不过，这只是对攻击链传播能力的推测，并不代表已经有蠕虫在现实环境中部署或传播。 58

此前针对相关Unitree固件的报告也曾记录过类似风险：恶意Wi-Fi配置数据在BLE配网交互后被处理时，可能触发命令注入。

CVE-2026-76639：另一条chat_go攻击路径

CVE-2026-76639使用的是完全不同的入口。美国国家漏洞数据库（NVD）称，G1 EDU固件最高至1.5.2存在一条未经身份验证、面向网络邻近攻击者的Root级远程代码执行链，涉及三个弱点：TCP 9991端口上暴露的WebRTC到DDS桥接服务、以权限过宽方式存储的静态AES-128密钥，以及chat_go知识库上传API中的路径遍历漏洞。 1

从整体流程看，路径遍历可能让攻击者把恶意文件写入bashrunner允许执行的目录。随后，该服务会以Root身份运行该文件，将原本的“不安全文件写入”问题转化为代码执行。 14

这条路径不要求攻击者站在机器人旁边通过蓝牙发起攻击；它的实际暴露程度取决于相关网络邻近服务是否可被访问，以及不受信任的设备能否与这些服务通信。

成功入侵后，哪些能力可能受到影响？

如果攻击者取得Locomotion PC的Root权限，就可能控制或访问与机器人核心功能相连的软件，包括电机与运动控制、摄像头、麦克风、音频播放及语音相关功能。 513

因此，这不仅是普通的信息安全问题，也涉及实体安全。遭到攻陷的机器人可能被用于监视、未经授权播放音频或发声、干扰服务，甚至实施不安全的移动操作。现有报告证明了受影响系统的重要性，但并未证明某一台具体G1已经遭到利用，也没有证据表明已经发生危险的现实事件。

Unitree的回应，以及仍未厘清的修复范围

公开报道表示，Unitree已经验证相关问题并发布补丁。 6 另有报道提到，Unitree在2026年7月增加了账户与机器人之间的所有权校验。 12 不过，目前提供的材料中没有找到一份Unitree官方安全公告，能够将两个CVE分别对应到明确的G1 EDU修复固件版本。

CVE材料记录的受影响范围是固件最高至1.5.2。 15 在现有指导信息中，也尚未独立核实一个能够明确修复两条攻击链全部环节的具体版本。 8

因此，运营方不应仅凭“升级到最新版本”的笼统说明，就默认两个漏洞的所有环节都已修复。更稳妥的做法是核对当前安装版本，并直接向Unitree获取确认。

部分报道还提到Unitree向研究人员支付了漏洞赏金；但现有材料并未独立说明赏金的具体分配和相关补丁内容，因此不宜将其视为已完成全面修复的依据。 611

G1 EDU运营方现在可以做什么

1. 向Unitree确认修复版本。 要求对方明确说明哪些固件版本同时修复CVE-2026-76639和CVE-2026-76640，并逐台核对机器人当前安装的版本。
2. 减少物理暴露。 在确认完成修复前，避免让受影响机器人接近不受信任人员或其他存在漏洞的G1；在业务允许的情况下，关闭BLE配网功能。
3. 隔离机器人网络。 将G1部署在独立且受访问控制的网络中，阻断不必要的入站访问，尤其是管理、WebRTC/DDS及配网服务。
4. 限制文件上传功能。 在可行时停用或限制chat_go知识库上传功能，并检查bashrunner允许执行的目录、服务文件是否出现异常内容或改动。
5. 调查可能的入侵。 将无法解释的异常视为潜在Root级事件，轮换相关凭据和密钥，检查日志及文件系统变化；如有必要，从可信的厂商来源重新刷写或重装机器人系统。

“UniBLEed”带来的核心警示是：机器人的安全不能只看某个蓝牙接口或手机应用。云端授权检查、配网脚本，以及与AI功能相关的文件上传接口，都可能在认证边界和执行权限控制不一致时，成为进入实体机器控制系统的跳板。