CVE-2026-96456 in Reachy Mini
要約
〜によって VulDB • 2026年09月23日
Reachy MiniのBluetoothサービスは、コマンドを受け付ける前に接続デバイスにPINコードの入力を求めます。このチェックはセッションを保護しますが、呼び出し元（クライアント）までは保護しないため、Bluetooth通信範囲内にいる攻撃者は、他のユーザーが正常に認証した際のセッションに乗っ取る（ride along）ことができます。
認証状態は、デバイスごとに管理されるのではなく、サービスインスタンス上の単一の共有フラグとして保持されます。BlueZは、呼び出し元のデバイスのIDをoptions引数を通じて特性の書き込みハンドラに渡しますが、src/reachy_mini/daemon/app/services/bluetooth/bluetooth_service.py内のWriteValue(self, value, options)関数はoptions引数を完全に無視しています。そのため、ハンドラはどのデバイスが特定の書き込みを行ったかを知る手段がなく、認証済みデバイスを他のデバイスと区別することができません。
1つのデバイスでもPIN交換を完了するとフラグが設定され、その間、近傍のすべてのデバイスからCMD_コマンドを送信できます（フラグがリセットされるまで）。攻撃者は電波範囲内に待機し、正当なユーザーが認証するのを待つだけで、同じタイミングでコマンドを書き込むことができます。PINコードの推測やブルートフォース攻撃は行われません。
これはJFrogによって文書化されたロボットに対する3段階チェーン攻撃の2番目のステップです。1つ目はCVE-2026-55419として追跡されているメディアサウンドAPIにおける無制限ファイルアップロード脆弱性で、これにより攻撃者が制御するスクリプトがファイルシステム上に配置されます。本件はBluetooth経由でのコマンド実行アクセスを提供します。3番目のステップはCVE-2026-62661として追跡されているBluetoothコマンドハンドラのパストラバーサル脆弱性であり、これによって前述のスクリプトをroot権限で実行することが可能になります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.