Reachy Mini : cinq CVE, une requête HTTP non authentifiée pour le root

Les chercheurs de JFrog ont publié cinq vulnérabilités dans Reachy Mini, le robot de bureau open source à 499 $ conçu par Pollen Robotics et Hugging Face. D'après le billet de JFrog, une seule requête HTTP non authentifiée vers le démon du robot suffit à exécuter du code, puis à obtenir un root persistant. La prise de contrôle donne la caméra, le micro et les moteurs — « les yeux et les oreilles du robot appartiennent alors à l'attaquant », résume le chercheur Natan Nehorai dans la reprise d'UnderNews. Correctif : démon v1.11.0, SDK 0.2.7.

Les cinq CVE

• CVE-2026-96455 — RCE non authentifiée. Un POST /api/apps/install avec source_kind: "local" passe un chemin fourni par l'attaquant à uv pip install ; l'installation depuis les sources exécute le setup.py du paquet sous le compte pollen. CVSS 8.8 selon le NVD.
• CVE-2026-55419 — upload de fichier non restreint sur /api/media/sounds/upload, sans authentification, ni liste blanche d'extensions, ni validation du contenu.
• CVE-2026-62661 — traversée de chemin via Bluetooth. Le gestionnaire CMD_ construit le chemin d'un script avec os.path.join ; un chemin absolu sort du dossier commands/ et s'exécute sous sudo (avis GHSA-vg3x-4hxm-3gxm).
• CVE-2026-96456 — course sur l'authentification PIN Bluetooth. L'état d'authentification est un unique booléen global : l'appairage d'un appareil vaut pour tous (avis GHSA-993g-hgjh-whmf).
• CVE-2026-53605 — élévation de privilèges locale vers root, via le sudo sans mot de passe du démon. Corrigée en 0.2.7.

JFrog ne publie pas de score CVSS pour quatre d'entre elles.

La chaîne d'exploitation

Le démon tourne sous l'utilisateur pollen, pas root — mais pollen dispose d'un sudo sans mot de passe. Une fois le code exécuté via /api/apps/install, la charge crée et active un service systemd root qui ajoute la clé SSH de l'attaquant : accès root persistant. JFrog résume : « A few HTTP requests, and the robot belongs to someone else. »

Un second vecteur passe par le navigateur. La politique CORS du démon est allow_origins=["*"] : il suffit qu'un opérateur visite une page piégée pour qu'elle envoie une requête cross-origin vers /api/apps/install-private-space. Le démon utilise alors le token Hugging Face stocké par l'opérateur pour installer un Space contrôlé par l'attaquant. Un drapeau de configuration que les opérateurs croient restreindre l'exposition réseau ne fait, en réalité, que décider de l'affichage de l'IP WLAN.

État de l'exploitation

Aucune exploitation dans la nature n'est rapportée, et CVE-2026-96455 ne figure pas au catalogue KEV de la CISA. La base installée reste limitée — c'est précisément l'argument de JFrog : corriger avant qu'elle ne grandisse.

Que faire

1. Mettre à jour le démon Reachy Mini en v1.11.0 et le SDK en 0.2.7, puis redémarrer le robot.
2. Isoler le robot sur un VLAN dédié tant qu'il n'est pas corrigé ; ne jamais l'exposer directement à Internet.
3. Retirer l'appairage Bluetooth inutile et vérifier qu'aucun appareil non maîtrisé n'est appairé.
4. Auditer le sudoers du compte pollen (retirer NOPASSWD), le fichier authorized_keys et les services systemd ajoutés récemment.
5. Rafraîchir le token Hugging Face stocké sur l'appareil, et éviter de naviguer sur le web depuis un poste du même réseau tant que la CORS * n'est pas corrigée.

Contexte

Le schéma est connu : une API web sans authentification, un sudo trop permissif, une CORS en * — des défauts banals d'applications web. La nouveauté tient au corps. Comme le note Nehorai, ces failles « courantes » s'accompagnent ici d'une caméra, d'un micro et de moteurs : un robot compromis observe les claviers et les notes sur un bureau, écoute la pièce, sert de point d'appui dans le réseau, efface les Wi-Fi enregistrés et se reconnecte au point d'accès de l'attaquant. À mesure que les robots grand public gagnent en force, la frontière entre la faille logicielle et le dommage physique se réduit.