CVE-2026-96456

Reachy Mini Bluetooth xidməti əmrləri qəbul etməzdən əvvəl qoşulan cihazdan PIN kodu tələb edir. Bu yoxlama sessiyanı qoruyur, lakin çağıranı qorumur, buna görə də Bluetooth mənzilində olan hücumçu başqasının uğurlu autentifikasiyasından istifadə edərək sistemə daxil ola bilər. Autentifikasiya edilmiş vəziyyət hər bir cihaz üçün ayrı-ayrılıqda deyil, xidmət nümunəsində tək bir ortaq bayraqda (flag) saxlanılır. BlueZ çağırıcı cihazın kimliyini `options` arqumenti vasitəsilə xüsusiyyət yazı idarəedicisinə ötürür, lakin `src/reachy_mini/daemon/app/services/bluetooth/bluetooth_service.py` faylındakı `WriteValue(self, value, options)` funksiyası `options` arqumentini tamamilə görməzdən gəlir. Buna görə də idarəedici konkret yazma əməliyyatının hansı cihaz tərəfindən göndərildiyini müəyyən edə bilmir və autentifikasiya olunmuş cihazı digərlərindən fərqləndirə bilmir. Hər hansı bir cihaz PIN mübadiləsini tamamladıqdan sonra bayraq təyin edilir və sıfırlanana qədər yaxınlıqdakı bütün cihazlar CMD_ əmrlərini göndərə bilir. Hücumçu sadəcə radio mənzili daxilində qanuni istifadəçinin autentifikasiya etməsini gözləyir, daha sonra eyni pəncərəyə əmrlər yazır. Heç bir PIN kodu təxmin edilmir və ya brute-force üsulu ilə sındırılmır. Bu, JFrog tərəfindən robotla bağlı sənədləşdirilmiş üç mərhələli zəncirin ikinci addımıdır. Birincisi, media səsləri API-dəki məhdudiyyətsiz fayl yükləməsidir (CVE-2026-55419), bu, hücumçu tərəfindən idarə olunan skripti fayl sisteminə yerləşdirir. Bu problem isə Bluetooth üzərindən əmr girişini təmin edir. Üçüncüsü, Bluetooth əmr idarəedicisi yolunun keçilməsidir (path traversal - CVE-2026-62661), hansı ki həmin skripti root imtiyazları ilə işə salır.