CVE-2026-96455

Demon Reachy Mini udostępnia interfejs API HTTP do zarządzania robotem. Punkt końcowy instalacji aplikacji, POST /apps/install w src/reachy_mini/daemon/app/routers/apps.py, nie ma uwierzytelnienia. Jedyną zależnością procedury obsługi jest zależność(get_app_manager), która po prostu przekazuje obiekt menedżera ze stanu aplikacji, więc nic w łańcuchu nigdy nie sprawdza poświadczeń.



Punkt końcowy przyjmuje treść AppInfo i nazywa ją Przestrzenią Przytulającej Twarzy. Demon pobiera tę przestrzeń i instaluje ją jako pakiet Pythona poprzez install_package w src/reachy_mini/apps/sources/local_common_venv.py, używając uv lub pip. Zainstalowanie pakietu Python uruchamia własny kod kompilacji i konfiguracji pakietu, więc ktokolwiek wybierze Space, wybiera kod, który będzie uruchamiany przez robota. Każdy może opublikować publiczną przestrzeń obejmującą twarz, więc nie jest to znaczące ograniczenie dla atakującego.



Daleko to sięga, zależy od modelu. W _resolve_bind_host w src/reachy_mini/daemon/app/main.py demon wiąże 0.0.0.0, gdy działa w wersji bezprzewodowej, i 127.0.0.1 w przeciwnym razie, z własnym komentarzem dostawcy wyjaśniającym, że robot musi być osiągalny w sieci LAN. Zatem na jednostce bezprzewodowej dowolny host w tej samej sieci może zainstalować i uruchomić kod na robocie bez poświadczeń.



Jedna powiązana zmiana została już wysłana, ale nie rozwiązuje problemu. Wersja 1.8.2 zastąpiła politykę CORS dotyczącą symboli wieloznacznych listą dozwolonych źródeł hostów lokalnych i Tauri. Zamyka to trasę „drive-by” przeglądarki, podczas której odwiedzana przez ofiarę strona internetowa po cichu wywołuje punkt końcowy w tle. Nie ma to wpływu na tę kwestię: CORS jest wymuszany przez przeglądarki i reguluje, czy skrypt może odczytać odpowiedź, podczas gdy bezpośrednie żądanie HTTP z innego komputera w sieci nie wymaga przeglądarki, żadnej inspekcji wstępnej ani żadnego sprawdzania CORS.