[단독분석] 분석 — CVE-2026-76639

• 심각도 high · CVSS 8.8 · EPSS 0.00714 · 악용난이도 hard

• 네트워크 인접 공격자는 TCP 9991 포트에 존재하는 인증 없는 WebRTC‑to‑DDS 브리지에 DDS 제어 메시지를 전송합니다.
• 정적 AES‑128 키가 world‑readable 파일에 저장돼 있어 암호화된 데이터를 탈취·복호화할 수 있습니다.
• chat_go 지식 업로드 API의 경로 탐색 취약점을 이용해 임의의 스크립트를 /usr/local/bashrunner/scripts/ 등 실행 디렉터리로 기록합니다.
• DDS 메시지로 bashrunner 서비스를 재시작하면, 해당 디렉터리에 배치된 악성 스크립트가 root(uid 0) 권한으로 실행됩니다.

악용 가능성: CVSS 벡터 AV:A/AC:L/PR:N/UI:N 은 공격자가 네트워크 인접 위치에서 별도의 인증이나 사용자 개입 없이 낮은 복잡도로 접근할 수 있음을 의미합니다. 실제로는 TCP 9991 포트가 열려 있는 환경만 확보하면 취약점이 존재하는 장치에 직접 도달할 수 있습니다. EPSS 값 0.00714 가 매우 낮고 KEV에 등재되지 않았지만, 이는 현재 관측된 악용 사례가 적다는 뜻일 뿐, 루트 권한을 부여하는 연쇄 결함 자체가 실질적인 위협 잠재력을 가지고 있음을 보여줍니다. 공격자는 WebRTC‑to‑DDS 브리지(TCP 9991)를 통해 DDS 제어 메시지를 전송해

• 기술적 위험: 성공 시 공격자는 루트 권한을 획득해 시스템 전체를 장악하고, 임의 명령·스크립트를 실행할 수 있습니다. 이는 서비스 중단(DoS), 로봇 동작 제어 탈취 및 물리적 손상 가능성을 포함합니다.
• 비즈니스 위험: 가용성 저하와 함께 로봇이 의도치 않은 행동을 할 경우 안전·규제 위반(산업안전, 데이터 보호) 위험이 존재합니다. 고객 신뢰도 하락 및 법적 책임 발생 가능성이 있습니다.
• 영향 제품·노출 규모: 영향을 받는 제품은 Unitree G1 EDU 로봇의 펌웨어 1.5.2 이하이며, 해당 펌웨어가 설치된 모든 장치가 위험에 노출됩니다. 현재 정확한 배포 규모는 공개되지 않아 추정: 전 세계 Unitree G1 EDU 사용 고객이 대상일 수 있습니다.

• 본 취약점은 CWE‑287(인증 우회), CWE‑331(암호키 관리) 및 CWE‑22(경로 탐색)를 결합한 복합 공격이며, 동일한 로봇 플랫폼에서 발견된 다른 인증 없는 서비스(예: 원격 디버그 포트)와 연계될 가능성이 있습니다. 구체적인 CVE 번호는 확인되지 않았습니다.

• DDS 제어 메시지가 TCP 9991을 통해 비정상적으로 빈번히 전송되는지 모니터링합니다.
• /usr/local/bashrunner/scripts/ 디렉터리의 파일 생성·수정 이벤트를 실시간 로그에 기록합니다.
• WebRTC‑to‑DDS 브리지 프로세스가 시작될 때 로드하는 AES 키 파일에 대한 접근 권한 변동을 감시합니다.

• 즉시 조치: 해당 포트(9991)와 WebRTC‑DDS 브리지를 차단하거나 내부망에서만 접근 가능하도록 제한하고, AES 키 파일의 퍼미션을 600 이하로 수정합니다.
• 근본 해결: Unitree 공식 펌웨어 1.5.3 이상으로 업데이트하여 인증 메커니즘과 키 관리, 경로 탐색 검증이 개선된 버전을 적용합니다.
• 추가 방어: 파일 무결성 모니터링 및 DDS 메시지 서명 검증을 도입하고, 침해 사고 대응 절차를 사전 점검합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.8 · non-KEV · EPSS=0.00714 · exploit=hard · in_scope=None