Robotsuņa Unitree Go2 MI sarunu modulī atrasta kritiska ievainojamība

Četrkājainā robota Unitree Go2 MI sarunu komponentē chat_go atrasta kritiska drošības ievainojamība, kas ļauj attālināti ievadīt komandas ierīces operētājsistēmā. Ievainojamība ar apzīmējumu CVE-2026-115995 publiskajā ievainojamību reģistrā parādījās sestdien, 24. oktobrī.

Kļūda slēpjas negaidītā vietā – funkcijā set_volume, kas regulē robota skaļumu un atrodas failā gpt_thread.py. Ja šīs funkcijas parametrā Value tiek padoti īpaši sagatavoti dati, sistēma tos neattīra un var izpildīt kā operētājsistēmas komandu. Ieraksts norāda, ka uzbrukumu var veikt attālināti un tam nav vajadzīgas īpašas piekļuves tiesības, tomēr nepieciešama zināma lietotāja iesaiste.

Ievainojamību reģistrējusi drošības datubāze VulDB, kas to novērtējusi ar 9,6 punktiem no 10 pēc CVSS 3.1 skalas un 9,4 punktiem pēc jaunākās CVSS 4.0 skalas, abos gadījumos kā kritisku. VulDB ziņo, ka publiski pieejams uzbrukuma rīks šai kļūdai pagaidām nav zināms.

Ražotājs Unitree Robotics kļūdu apstiprinājis jau iepriekš: ierakstā minēts, ka iesniegums ar numuru 990502 atbilst uzņēmuma iekšējam pieteikumam ar numuru 474. Skartas ir programmaparatūras versijas no 1.1.11.0 līdz 1.1.11.4, bet problēmu novērš atjauninājums uz versiju 1.1.11.5.

Tajā pašā dienā publicēta arī otra ievainojamība tajā pašā sarunu komponentē. CVE-2026-115996 attiecas uz to, ka robota WebSocket savienojumā netiek pienācīgi pārbaudīts servera sertifikāts. Tā novērtēta kā daudz mazāk bīstama – ar 3,7 punktiem pēc CVSS 3.1 un 6,3 punktiem pēc CVSS 4.0 skalas –, un skarto versiju sarakstā ir arī jaunākās versijas līdz 1.1.15.1, bet labojums tajā nav norādīts.

Drošības nozares izdevumi norāda, ka abu ierakstu skarto versiju saraksti savstarpēji nesakrīt. Kritiskajā ierakstā jaunākā minētā versija ir 1.1.11.5, savukārt otrajā ierakstā kā skartas uzskaitītas arī versijas līdz 1.1.15.1. Tāpēc īpašniekiem, kuru robotos ir kāda no šīm jaunākajām versijām, no ierakstiem pagaidām nav skaidrs, vai uz viņu ierīcēm attiecas arī nopietnākā kļūda.

Pagaidām nav publisku ziņu, ka kritiskā ievainojamība būtu izmantota uzbrukumos, un tās novēršanai jau ir pieejams programmaparatūras atjauninājums. Abi ieraksti pašlaik balstās uz VulDB sniegto vērtējumu, un ASV Nacionālā ievainojamību datubāze tos vēl nav analizējusi pati.