Kamuya açık bildirim
Bildiren: Víctor Mayoral-Vilches; Andreas Makris; Kevin Finisterre (authors of the cited papers).
Güvenlik duyurusu
Üreticinin itiraz ettiği Unitree G1 telemetri gizliliği bulguları
Araştırmacılar, G1’in sensör ve hizmet durumu verilerini operatöre açıkça bildirmeden veya onayını almadan telemetri yoluyla ilettiğini bildiriyor. Unitree, internet erişiminin kullanıcı yapılandırması ve yetkilendirmesi gerektirdiğini, internete bağlı robotların seri numarası ve sistem sağlığı verilerini gönderebileceğini belirtiyor. Unitree, yetkilendirme olmadan özel veya hassas veri topladığını reddediyor.
Kayıtların son doğrulaması 13 Ekim 2026 · Düzeltme bildir
- CVE kimlikleri
- CVE kaydedilmedi
- Sınıf
- Gizlilik
- CVSS / değerlendiren
- Yayımlanmış CVSS yok
- Üretici yanıtı
- Tartışmalı
Diğer bildirim kimlikleri: arXiv:2509.14096, arXiv:2509.14139
Etkilenen modeller, sürümler ve bileşenler
- Unitree G1
Etkilenen sürümler belirtilmedi
Bileşen: Telemetry and remote health monitoring
Bildirim ve yanıt zaman çizelgesi
Kayıtta bir yanıt veya giderme tarihi vardır. Her üretici iletişimi ve düzeltme için ayrı tarih sağlamaz.
Üretici yanıtı / giderme güncellemesi (kayıttaki haliyle)
Tartışmalı. Unitree, yetkilendirme olmadan özel veya hassas veri toplandığı iddiasına itiraz ediyor. Düzeltme içeren bir sürüm belirtilmiyor.
Düzeltme
Ayrı düzeltme tarihi kaydedilmedi
Kayıtlı kaynaklarda düzeltilmiş sürüm belirlenmedi.
Sahipler ne yapmalı?
Unitree’nin açıklamasında tarif edilen internet bağlantısı yetkilendirmesini inceleyin.
Düzeltilmiş sürüm (belirtilen haliyle): Düzeltilmiş sürüm belirlenmedi.
Unitree, yetkilendirme olmadan özel veya hassas veri toplandığı iddiasına itiraz ediyor. Düzeltme içeren bir sürüm belirtilmiyor.
Bu kayıtlar nasıl okunur?
Resmi CVE kayıtlarını, üretici duyurularını, CERT/CISA bildirimlerini ve araştırmacıların açıklamalarını dahil ederiz. CVSS, kaydedilen vektör sürümüyle yayımlanmış değerlendiricisine atfedilir; CVE Numaralandırma Kuruluşu da belirtilir. CNA puanı NVD değerlendirmesi değildir. Yayımlanmamış puan bilinmeyen kalır.
Etkilenen sürümler, bileşen kapsamı ve düzeltme koşulları açıklamanın anlamını korur. Bildirilen yama bağımsız yeniden test değildir. Tartışmalı bulgular araştırmacı ve üretici görüşleriyle birlikte gösterilir. İstismar talimatı veya kodu yayımlamayız.
Sayılar seçilmiş duyuru kayıtlarını gösterir; bir açıklamadan birkaç kayıt gelebilir. Kapsam eksiktir ve güvenlik sıralaması değildir. Kaydın olmaması robotta açık bulunmadığını göstermez.
Kanıt
Kaynaklar
- [s1] The Cybersecurity of a Humanoid Robot ↗
Víctor Mayoral-Vilches / arXiv · Makale · yayımlandı 17 Eylül 2025 · erişim 13 Ekim 2026
- [s2] Cybersecurity AI: Humanoid Robots as Attack Vectors ↗
Víctor Mayoral-Vilches, Andreas Makris, and Kevin Finisterre / arXiv · Makale · yayımlandı 23 Eylül 2025 · erişim 13 Ekim 2026
- [s3] Statement to our respected Unitree users ↗
Unitree Robotics · Resmi · yayımlandı 29 Eylül 2025 · erişim 13 Ekim 2026
Diğer duyuru kayıtları
- Unitree G1 EDU’da DDS köprüsü ve dosya yükleme üzerinden uzaktan kod çalıştırma →
- Unitree G1 EDU’nun BLE ilk yapılandırması ve arabellek işlemleri root düzeyinde kod çalıştırmaya olanak tanıyor →
- Unitree UPK donanım yazılımı güncelleme biçiminde koda gömülü kriptografik anahtarlar kullanılıyor →
- Unitree G1 ve H1 erişim noktası yapılandırmasında komut enjeksiyonu →
- Unitree G1 ve H1 Wi-Fi yapılandırmasında komut enjeksiyonu →
- Unitree G1 ve H1’in BLE ilk yapılandırma el sıkışmasında kimlik doğrulamanın atlatılması →
- Unitree G1 ve H1’in BLE ilk yapılandırmasında ortak kriptografik sırlar kullanılıyor →
Kayıtlar
Görev kanıtları →
Kaynak ifadeleri, belirtilen otonomi ve gösterim koşulları.
Saha uygulamaları →
Müşteriler, görevler, sözleşmeler ve kanıt düzeyleri.
Zaman çizelgeleri →
Tarihli üretici iddiaları, hedefler ve kaynaklı sonuçlar.
Politika ve düzenlemeler →
Bağlamıyla pazara erişim, mevzuat ve standartlar.
Kaç robot var →
Tahminler, tanımlar, kapasite ve öngörüler.