Derde reeks lekken bij Unitree: root-toegang op de G1, één keer zelfs via bluetooth zonder koppeling

Beveiligingsonderzoeker Olivier Laflamme heeft eind augustus twee kwetsbaarheden gepubliceerd in de Unitree G1 EDU, de humanoïde robot die sinds deze zomer ook in Europa te koop is. Beide lekken — geregistreerd als CVE-2026-76639 en CVE-2026-76640 — eindigen op dezelfde plek: volledige root-toegang, oftewel de hoogste rechten op de computer die de robot bestuurt. Wie die heeft, bestuurt de robot, zijn camera's en zijn microfoons.

Het is de derde reeks bewezen lekken bij dit merk in anderhalf jaar. Dat begint een patroon te worden, en patronen zijn voor kopers belangrijker dan losse incidenten.

Twee routes naar hetzelfde eindpunt

De eerste kwetsbaarheid loopt via het netwerk. De ingebouwde AI-chatbot van de G1 accepteert kennisbestanden die je naar de robot stuurt, maar controleert de bestandsnaam nauwelijks. Door in die naam een pad te verstoppen, kan een aanvaller een eigen bestand wegschrijven in een map waarvan de robot de inhoud blind vertrouwt en uitvoert — en dat bestand draait dan met rootrechten. Authenticatie is daarbij niet nodig.

De tweede route is de opvallendste: die begint via bluetooth, en koppelen hoeft niet. Een apparaat in de buurt kan de robot zonder enige koppeling een versleuteld startpakketje laten afgeven. De pijnlijke ontdekking: Unitree's eigen clouddienst ontsleutelde dat pakketje tot voor kort voor íédere ingelogde gebruiker met een gratis account — of die de robot bezat of niet. Eén AES-sleutel bleek bovendien zowel het bluetooth-protocol als de videoverbinding te ontgrendelen. Met die sleutel kon een aanvaller vervolgens een klassieke programmeerfout benutten: een wifi-wachtwoord van 1.050 tekens in een buffer die er 500 aankan, waarmee de robot naar het wifi-netwerk van de aanvaller wordt gelokt en uiteindelijk root-toegang geeft.

Het zorgwekkendste zit in de herhaling

Laflamme demonstreerde met twee robots nog iets anders: een gehackte G1 kan met dezelfde aanval automatisch andere G1's binnen bluetooth-bereik overnemen. Dat maakt van één besmette robot een besmettingsbron — hetzelfde wormgedrag dat vorig jaar bij het UniPwn-lek werd aangetoond. Wie dit leest naast de eerdere CloudSail-achterdeur in de Go1-viervoeters (2025) en de hardcoded sleutels die het Pentagon in juni aanhaalde, ziet geen pechreeks maar een structureel kwaliteitsprobleem in de beveiliging van dit merk.

Wat Unitree deed — en wat er open blijft staan

De onderzoeker meldde zijn vondsten in mei. Unitree dichtte in juli het cloudlek: de dienst controleert nu of een account de robot ook echt bezit voordat de sleutel wordt afgegeven. Begin augustus betaalde het bedrijf 5.000 dollar premie voor de twee vondsten. Maar de fouten in de robot zelf — de ontbrekende koppelingsplicht en de bufferfout in de bluetooth-software — vragen een firmware-update, en een firmwareversie waarin ze aantoonbaar zijn gerepareerd is nergens in de documentatie van Unitree terug te vinden. De geteste versie V1.5.2 was kwetsbaar.

Wat betekent dit voor jou?

Voor wie ons eerdere stuk over de Europese lancering las, is dit een bevestiging, geen verrassing: goedkoop is niet hetzelfde als inzetbaar. Een humanoid van een paar duizend euro die je erf of bedrijfspand op moet, is een computer op benen vol camera's en microfoons — en bij dit merk is nu drie keer bewezen dat buitenstaanders die computer konden overnemen, de laatste keer zelfs vanaf de parkeerplaats, via bluetooth.

Concreet: wie een G1 bezit, moet firmware-updates direct installeren zodra ze er zijn, bluetooth-bereik als fysiek risico behandelen en bij de leverancier schriftelijk navragen in welke firmwareversie deze twee CVE's zijn gedicht. En wie overweegt dit soort robots zakelijk in te zetten, stelt de drie vragen die we eerder formuleerden — waar staan de beelden, kan het apparaat zonder internet, welke verwerkersovereenkomst wordt getekend — plus een vierde: hoe snel en hoe controleerbaar repareert de fabrikant bewezen lekken? Het antwoord van deze zomer stemt niet gerust.