CVE-2026-96456 in Reachy Mini
Resumen
por VulDB • 2026-09-23
El servicio Bluetooth de Reachy Mini solicita un PIN a los dispositivos conectados antes de aceptar comandos. Esta verificación protege la sesión pero no al interlocutor; por lo tanto, un atacante dentro del alcance de Bluetooth puede aprovecharse de una autenticación exitosa realizada por otro usuario (ataque "ride along").
El estado de autenticación se mantiene en un único flag compartido en la instancia del servicio, en lugar de gestionarse por dispositivo. BlueZ pasa la identidad del dispositivo llamante al controlador de escritura de características mediante el argumento `options`, pero la función `WriteValue(self, value, options)` ubicada en `src/reachy_mini/daemon/app/services/bluetooth/bluetooth_service.py` ignora completamente los argumentos `options`. Como resultado, el controlador no sabe qué dispositivo envió una escritura concreta y no puede distinguir al autenticado de cualquier otro.
Una vez que un dispositivo completa el intercambio del PIN, se activa la bandera y todos los dispositivos cercanos pueden enviar comandos CMD_ hasta que esta se restablezca. Un atacante simplemente espera dentro del alcance radioeléctrico a que un usuario legítimo se autentique y luego escribe comandos en esa misma ventana temporal. Nunca es necesario adivinar o realizar fuerza bruta sobre el PIN.
Este es el segundo paso de una cadena de tres etapas documentada por JFrog contra el robot. El primero consiste en la carga descontrolada de archivos en la API de sonidos multimedia, rastreada como CVE-2026-55419, que permite colocar un script controlado por el atacante en el sistema de archivos. Este problema proporciona acceso a los comandos a través de Bluetooth. El tercer paso es una vulnerabilidad de traversing de rutas (path traversal) en el manejador de comandos Bluetooth, rastreada como CVE-2026-62661, que ejecuta dicho script con privilegios root.
If you want to get best quality of vulnerability data, you may have to visit VulDB.