Sicherheitslücken in Unitree G1 EDU Robotern entdeckt

Olivier Laflamme, ein Sicherheitsforscher, hat zwei schwerwiegende Sicherheitslücken in den Unitree G1 EDU Robotern offengelegt. Diese Schwachstellen ermöglichen eine Remote Code Execution (RCE) und betreffen sowohl die Netzwerk- als auch die Bluetooth-Kommunikation des Roboters. Die Schwachstellen sind unter den CVE-IDs CVE-2026-76639 und CVE-2026-76640 registriert. Die erste Schwachstelle, CVE-2026-76639, betrifft einen Netzwerk-adjacenten Pfad, der über die Komponenten chat_go und bashrunner ausgenutzt werden kann. Diese Lücke ermöglicht es Angreifern, über das Netzwerk auf den Roboter zuzugreifen und potenziell schädlichen Code auszuführen.

Die genaue technische Ausnutzung dieser Schwachstelle wurde von Laflamme detailliert beschrieben. Die zweite Schwachstelle, CVE-2026-76640, eröffnet einen Angriffsvektor über Bluetooth Low Energy (BLE). Diese Lücke ermöglicht es, direkt auf den Locomotion PC des Roboters zuzugreifen, was zu einer vollständigen Übernahme des Geräts führen kann. Die Möglichkeit, über BLE auf kritische Systeme zuzugreifen, stellt ein erhebliches Sicherheitsrisiko dar. Unitree Robotics, der Hersteller der G1 EDU Roboter, hat bisher keine offizielle Stellungnahme zu den entdeckten Schwachstellen veröffentlicht.

Sicherheitsforscher empfehlen jedoch, die betroffenen Systeme umgehend zu überprüfen und gegebenenfalls Sicherheitsmaßnahmen zu ergreifen, um unbefugten Zugriff zu verhindern. Die Entdeckung dieser Schwachstellen wirft Fragen zur allgemeinen Sicherheit von Robotersystemen auf, insbesondere in Bildungseinrichtungen, wo solche Geräte häufig eingesetzt werden. Die Möglichkeit, dass Angreifer über alltägliche Kommunikationsprotokolle wie Bluetooth und Netzwerkverbindungen auf Roboter zugreifen können, ist alarmierend. Die Sicherheitslücken könnten auch Auswirkungen auf die Entwicklung zukünftiger Robotersysteme haben. Hersteller könnten gezwungen sein, ihre Sicherheitsarchitekturen zu überdenken und robustere Schutzmaßnahmen zu implementieren, um ähnliche Schwachstellen zu vermeiden.

Die Relevanz von Sicherheitsupdates und Patches wird in diesem Kontext immer wichtiger. Die Sicherheitslücken wurden in der letzten Woche entdeckt und die Details wurden in einem Blogbeitrag von Laflamme veröffentlicht. Sicherheitsforscher und IT-Experten sind aufgefordert, die Informationen zu analysieren und geeignete Maßnahmen zu ergreifen, um die Sicherheit der Systeme zu gewährleisten. Die CVE-IDs CVE-2026-76639 und CVE-2026-76640 sind ab sofort in den Sicherheitsdatenbanken gelistet, was bedeutet, dass sie von Sicherheitsteams weltweit überwacht werden. Die genaue Anzahl der betroffenen Geräte ist derzeit unbekannt, jedoch wird geschätzt, dass Tausende von Einheiten in Bildungseinrichtungen und Forschungsinstituten weltweit im Einsatz sind.

Sicherheitslücken könnten auch rechtliche Konsequenzen für Unitree Robotics nach sich ziehen, insbesondere wenn es zu Vorfällen kommt, die auf diese Schwachstellen zurückzuführen sind. Die Verantwortung für die Sicherheit von Robotersystemen liegt sowohl bei den Herstellern als auch bei den Nutzern, die sicherstellen müssen, dass ihre Geräte regelmäßig aktualisiert werden. Die Entdeckung dieser Schwachstellen unterstreicht die Notwendigkeit einer kontinuierlichen Überwachung und Verbesserung der Sicherheitsstandards in der Robotik. Experten warnen davor, dass unzureichende Sicherheitsmaßnahmen in der Robotik zu ernsthaften Sicherheitsvorfällen führen können, die sowohl physische als auch digitale Risiken mit sich bringen. Die Sicherheitslücken wurden am 31. August 2026 öffentlich gemacht, und es wird erwartet, dass Unitree Robotics bald auf die Entdeckungen reagieren wird.