Vulnerabilidad en Unitree Go2 (CVE-2026-27510)
Gravedad CVSS v4.0:
MEDIA
Tipo:
CWE-345
Verificación insuficiente de autenticidad de los datos
Fecha de publicación:
26/02/2026
Última modificación:
27/02/2026
Descripción
Las versiones de firmware de Unitree Go2 1.1.7 a 1.1.11, cuando se usan con la aplicación de Android Unitree Go2 (com.unitree.doggo2), son vulnerables a la ejecución remota de código debido a la falta de protección de integridad y validación de programas creados por el usuario. La aplicación de Android almacena programas en una base de datos SQLite local (unitree_go2.db, tabla dog_programme) y transmite el contenido de programme_text, incluido el campo pyCode, al robot. El archivo actuator_manager.py del robot ejecuta el Python suministrado como root sin verificación de integridad o validación de contenido. Un atacante con acceso local al dispositivo Android puede manipular el registro de programa almacenado para inyectar Python arbitrario que se ejecuta cuando el usuario activa el programa a través de una asignación de tecla del controlador, y la asignación maliciosa persiste a través de los reinicios. Además, un programa malicioso compartido a través del mercado comunitario de la aplicación puede resultar en la ejecución de código arbitrario en cualquier robot que lo importe y ejecute.
Impacto
Puntuación base 4.0
6.40
Gravedad 4.0
MEDIA
Puntuación base 3.x
9.60
Gravedad 3.x
CRÍTICA