CVE-2026-27509

🔍 Contexte Publié le 27 août 2026 sur le blog personnel d’Olivier Laflamme (boschko.ca), cet article constitue une analyse technique exhaustive (~85 min de lecture) de deux chaînes d’exploitation critiques affectant le robot humanoïde Unitree G1 (20 000 USD). La recherche a duré environ 3 mois et a produit deux CVE : CVE-2026-76639 et CVE-2026-76640, récompensés par une prime de 5 000 USD. 🎯 Cibles et surface d’attaque Le G1 embarque plusieurs ordinateurs communicant sur le réseau interne 192.168.123.0/24 : ...

Selon un billet technique publié par Olivier Laflamme (26 février 2026), deux vulnérabilités critiques de type RCE affectent les robots Unitree Go2, co‑découvertes avec Ruikai (Pwn0), avec un calendrier de divulgation coordonné avec le Security Response Center de Unitree. — CVE-2026-27509. Nature: RCE non authentifiée via DDS. Sur le firmware V1.1.7, l’abus du DataWriter DDS exposé sur les topics rt/api/programming_actuator/* permet l’exécution arbitraire de Python en root. Le système Eclipse CycloneDDS (v0.10.2) est utilisé sans DDS-Sec; tout hôte du réseau peut rejoindre le domaine 0 et publier des messages structurés (Request_…) vers les topics concernés. La surface inclut des topics API (ex. programming_actuator request/response) découverts via multicast DDS, puis échangés en unicast. ...