宇树G1 EDU人形机器人存在两个独立的安全漏洞，可分别实现Root权限远程代码执行（RCE）链，其中包括一条蓝牙低功耗（BLE）攻击路径；目前官方尚未确认修复这些漏洞的具体固件版本，相关用户需保持关注。
正文
本文由骏材磁应用（AIC Engineering）转载发布。所有权利归原出版商所有；请参阅下方来源。
宇树G1 EDU人形机器人存在两个漏洞可实现Root RCE，其中一个通过蓝牙发起
安全研究员Olivier Laflamme披露了影响宇树G1 EDU的两个独立Root远程代码执行（RCE）链，其中包括一条可通过蓝牙低功耗（BLE）路径到达机器人运动控制PC（Locomotion PC）Root权限的攻击链。
这些漏洞被追踪为CVE-2026-76639和CVE-2026-76640，第一个涉及通过chat_go和bashrunner的网络相邻路径，第二个则从BLE近距离接触开始。
在任何可访问的宇树指导文档中，均未核实确切的修复固件发布版本，这使得G1 EDU所有者无法获得针对这两个漏洞的确认发布目标。
Laflamme表示，宇树在2026年7月修补了云账户到机器人所有权的检查，堵死了跨所有者任意控制G1的路径。截至8月27日披露时，G1所有者仍可使用绑定到自己机器人的账户来恢复其高级加密标准（AES）密钥。底层的BLE问题（不需要配对即可写入0xFFE2以及BSS缓冲区溢出）与云修复是独立的。
Laflamme于2026年8月27日发表了该研究，将这两个问题描述为独立的Root RCE路径。研究时间线显示，Laflamme将测试机器人升级到了V1.5.2，但该过程本身并不能证明V1.5.1.1受到影响。
在他的技术披露中，Laflamme表示CVE-2026-76639利用chat_go中的路径遍历条件到达bashrunner。通过bashrunner执行会导致在运动控制PC上执行Root代码。
Laflamme将CVE-2026-76639描述为独立的RCE，尽管他在演示追踪为CVE-2026-76640的独立BLE链时，将其复用作为了一个披露原语。
对于CVE-2026-76640，初始的BLE写入路径接受引导交互而无需蓝牙配对。引导材料本身仍受保护，后续的Wi-Fi配置操作需要应用程序经过身份验证的BLE状态。
在Laflamme的研究期间，宇树的云服务接受了密钥恢复请求的有效宇树账户，但未验证该账户是否拥有提供的机器人。
该授权漏洞允许该账户恢复与另一台G1 EDU关联的密钥材料。然后，恢复的密钥可用于建立Wi-Fi配置操作所需的经过身份验证的BLE状态。
随后，wpa_connect.sh中的Wi-Fi heredoc注入迫使G1连接到攻击者的热点，提供了网络枢纽。Root执行来自btgatt-server中一个独立的缓冲区溢出，其中通过500字节的wifi_ssid BSS缓冲区进行1,050字节的写入，破坏了事件循环，使其在运动控制PC上以Root身份调用system()。
Laflamme将其传播测试限制在一个房间内的两台G1机器人。他在8月27日的披露中表示，云授权修复破坏了该确切的PoC流程。
宇树的官方产品页面将G1和G1 EDU区分为独立型号，而这两个新漏洞对其他宇树机器人的更广泛适用性仍未得到证实。
The Hacker News已联系宇树以确认修复的固件版本、受影响的产品范围以及当前的补救状态，并将在收到任何回复后更新报道。
2026年9月2日更正：早期版本错误地将缓冲区溢出定位在Wi-Fi配置代码中，在讨论蓝牙低功耗链时嵌入了非BLE演示，并且未完全描述宇树云授权修复的范围；溢出实际位于btgatt-server中，视频和补丁状态描述已更正。
资讯来源
- thehackernews.com (2026-08-29)
- 原文： Two Unitree G1 EDU Humanoid Robot Flaws Enable Root RCE, One Starts Over Bluetooth