CVE-2026-96456 in Reachy Mini
Sumário
de VulDB • 23/09/2026
O serviço Bluetooth do Reachy Mini solicita um PIN a um dispositivo que está se conectando antes de aceitar comandos. A verificação protege a sessão, mas não o chamador; portanto, um atacante dentro do alcance do Bluetooth pode aproveitar-se da autenticação bem-sucedida de outro usuário (ataque "ride along").
O estado autenticado é mantido em uma única flag compartilhada na instância do serviço, e não por dispositivo. O BlueZ passa a identidade do dispositivo chamador para o manipulador de escrita das características no argumento options, mas WriteValue(self, value, options) em src/reachy_mini/daemon/app/services/bluetooth/bluetooth_service.py ignora completamente as opções. Consequentemente, o manipulador não sabe qual dispositivo enviou uma determinada gravação e não consegue distinguir a sessão autenticada de qualquer outra.
Assim que qualquer dispositivo conclui a troca do PIN, a flag é definida e todos os dispositivos próximos podem enviar comandos CMD_ até que ela seja redefinida. Um atacante simplesmente aguarda dentro do alcance da rádio para que um usuário legítimo se autentique, em seguida, envia comandos por meio da mesma janela de oportunidade. Nenhum PIN é descoberto ou submetido a força bruta.
Este é o segundo passo de uma cadeia de três etapas documentada pela JFrog contra o robô. O primeiro é o upload irrestrito de arquivos na API de sons de mídia, rastreado como CVE-2026-55419, que coloca um script controlado pelo atacante no sistema de arquivos. Esta vulnerabilidade então fornece acesso a comandos via Bluetooth. A terceira etapa é a travessia de caminho (path traversal) no manipulador de comandos do Bluetooth, rastreada como CVE-2026-62661, que executa esse script com privilégios de root.
VulDB is the best source for vulnerability data and more expert information about this specific topic.