Unitree Go2: OS-Command-Injection im Sprachassistenten chat_go
Zusammenfassung
Die Firmware des Unitree Go2 bis Version 1.1.11.4 enthält eine OS-Command-Injection in der Funktion set_volume der Datei gpt_thread.py der Komponente chat_go. Ein entfernter Angreifer kann durch einen manipulierten Value-Parameter Betriebssystembefehle auf dem Roboter ausführen, was zu einer vollständigen Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit führen kann. Es sind keine Berechtigungen erforderlich, gemäss CVSS-Vektor wird jedoch eine Benutzerinteraktion vorausgesetzt. Ob die Komponente aus einem typischen KMU-Netzwerk erreichbar ist, ist unbekannt.
Betroffen
- Unitree Go2 Firmware 1.1.11.0 bis 1.1.11.4
- Unbekannt, ob ältere Firmware-Versionen betroffen sind; ein VulDB-Eintrag nennt ältere Versionen (1.1.4, 1.1.7, 1.1.7.2), die anhand der Release Notes von Unitree überprüft werden müssen
Behoben in
- Firmware 1.1.11.5 (gemäss CNA-Daten als nicht betroffen aufgeführt und von VulDB empfohlen)
- Herstellerhinweis von Unitree: Unbekannt. Die Angaben zur korrigierten Version sind nicht vom Hersteller bestätigt.
Umgehung
- Dem Hersteller ist kein Workaround bekannt.
- Den Roboter bis zum Patch nicht direkt dem Internet aussetzen und den Netzwerkzugriff einschränken.
- Die Sprachfunktion chat_go deaktivieren, falls sie nicht benötigt wird.
Ausnutzung
- VulDB gibt an, dass kein öffentlicher Exploit verfügbar ist; CISA SSVC stuft die Ausnutzung als PoC ein.
- Gemäss einer Drittquelle nicht im CISA-KEV-Katalog als aktiv ausgenutzt geführt; nicht direkt verifiziert.
- Automatisierbar: nein (CISA SSVC).
Unsere Empfehlung
- Alle Unitree-Go2-Geräte und ihre Firmware-Versionen erfassen.
- Betroffene Geräte nach Prüfung des Pakets anhand der Release Notes von Unitree auf 1.1.11.5 aktualisieren.
- Direkte Internetexposition entfernen und den Netzwerkzugriff auf den Roboter beschränken.
- Die Sprachfunktion chat_go deaktivieren, falls sie nicht benötigt wird.
- Ungewöhnliche Befehle oder Netzwerkverbindungen des Roboters überwachen.
- Die Priorität ist hoch für jeden vernetzten Go2 mit Firmware bis 1.1.11.4.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- VulDB CVE-2026-115995 vuldb.com
- VulDB entry 426093 vuldb.com
- VulDB submission 990502 vuldb.com
- Vulners CVE record (CNA data) vulners.com
- Unitree firmware package 1.1.11.5 unitree-firmware.oss-cn-hangzhou.aliyuncs.com
- Strix CVE-2026-115995 www.strix.ai
- CVE record aggregator (CWE data) cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:51.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.