CVE-2026-96456 in Reachy Mini
الملخص
بحسب VulDB • 23/09/2026
تطلب خدمة البلوتوث الخاصة بـ Reachy Mini من الجهاز المتصل إدخال رمز PIN (PIN) قبل قبول الأوامر. تحمي هذه الآلية الجلسة، لكنها لا تحمي المُستدعي؛ لذا يمكن لمهاجم ضمن نطاق البلوتوث أن يستغل عملية المصادقة الناجحة التي أجراها مستخدم آخر ("ركوب" على مصادقته).
يتم الاحتفاظ بحالة المصادقة في علم (flag) مشترك واحد موجود على مثيل الخدمة، بدلاً من تخصيصه لكل جهاز. تمرر مكتبة BlueZ هوية الجهاز المُستدعي إلى معالج كتابة الخصائص (characteristic write handler) عبر وسيط الخيارات (options argument)، لكن دالة `WriteValue(self, value, options)` الموجودة في الملف `src/reachy_mini/daemon/app/services/bluetooth/bluetooth_service.py` تتجاهل وسيط الـ options تماماً. ونتيجة لذلك، لا يعرف المعالج أي جهاز أرسل عملية الكتابة المحددة، ولا يمكنه التمييز بين الجهاز المُصادق عليه وأي جهاز آخر.
بمجرد أن يكمل أي جهاز تبادل رمز PIN، يتم تعيين العلم (flag)، ويمكن لكل الأجهزة القريبة إرسال أوامر `CMD_` حتى إعادة ضبط هذا العلم. ينتظر المهاجم ببساطة داخل النطاق اللاسلكي حتى يقوم مستخدم شرعي بالمصادقة، ثم يكتب الأوامر في نفس نافذة الوقت هذه. لا يتم تخمين رمز PIN ولا استخدامه في هجمات القوة الغاشمة (brute-force).
هذه هي الخطوة الثانية من سلسلة مؤلفة من ثلاث خطوات وثقتها شركة JFrog ضد الروبوت. تتمثل الخطوة الأولى في رفع الملفات غير المقيد عبر واجهة برمجة التطبيقات الخاصة بأصوات الوسائط، والتي تُتبع تحت رقم CVE-2026-55419، حيث يضع المهاجم سكريبتًاً يتحكم فيه على نظام الملفات. توفر هذه المشكلة (الثانية) الوصول إلى الأوامر عبر البلوتوث. أما الخطوة الثالثة فهي ثغرة تجاوز المسار (path traversal) في معالج أوامر البلوتوث، والتي تُتبع تحت رقم CVE-2026-62661، وتقوم بتشغيل ذلك السكريبت بصلاحيات الجذر (root).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.