ช่องโหว่ Unitree G1 EDU เปิดทางรันโค้ดระดับ root ผ่าน BLE และ API

Unitree G1 EDU ปรากฏเป็นเป้าหมายของการเปิดเผยช่องโหว่ความปลอดภัย 2 รายการที่ทำให้ผู้โจมตีสามารถรันโค้ดระยะไกลด้วยสิทธิ์ระดับ root ได้ ทั้งสองช่องโหว่ได้รับหมายเลข CVE‑2026‑76639 และ CVE‑2026‑76640 รวมถึงเส้นทางผ่าน Bluetooth Low Energy (BLE) ที่เข้าถึง Locomotion PC ของหุ่นยนต์ได้โดยตรง รายงานนี้ทำให้ผู้ใช้หุ่นยนต์เพื่อการศึกษาและนักพัฒนาต้องเร่งตรวจสอบและอัปเดตระบบอย่างเร่งด่วน

Overview

Unitree Robotics พัฒนา G1 EDU เป็นหุ่นยนต์คนเดินสองขาแบบเปิดโค้ดสำหรับการสอนด้านปัญญาประดิษฐ์ การเคลื่อนที่และระบบเซนเซอร์ หุ่นนี้มักถูกใช้ในมหาวิทยาลัยและศูนย์วิจัยเพื่อทดลองอัลกอริทึมการเรียนรู้เชิงเสริมและควบคุมแบบเรียลไทม์ เนื่องจากมีแพลตฟอร์มฮาร์ดแวร์เปิดและ SDK ที่เข้าถึงได้ง่าย จึงเป็นที่นิยมในวงการศึกษา

อย่างไรก็ตาม ความเปิดเผยของระบบทำให้ Unitree G1 EDU มีพื้นที่โจมตีหลายจุด การค้นพบช่องโหว่สองรายการโดยนักวิจัยความปลอดภัย Olivier Laflamme ชี้ให้เห็นว่าการออกแบบส่วนติดต่อเครือข่ายและการจัดการสิทธิ์ของระบบปฏิบัติการยังคงมีช่องโหว่ที่อาจถูกใช้เพื่อยกระดับสิทธิ์เป็น root

Technical Details

ช่องโหว่แรก (CVE‑2026‑76639) เกี่ยวข้องกับบริการ chat_go ที่ทำงานบนพอร์ตเครือข่ายภายในและฟังก์ชัน bashrunner ซึ่งอนุญาตให้รันคำสั่งเชลล์จากข้อความที่ส่งมาผ่าน API ผู้โจมตีสามารถสร้างข้อมูลอินพุตที่ทำให้ระบบประมวลผลโดยไม่ได้ตรวจสอบอย่างเพียงพอ ส่งผลให้ได้โค้ดใด ๆ ที่ต้องการบนเครื่องแม่ข่าย

ช่องโหว่ที่สอง (CVE‑2026‑76640) เป็นเส้นทางผ่าน Bluetooth Low Energy (BLE) โดยใช้โปรโตคอลการเชื่อมต่อที่เปิดอยู่เพื่อส่งคำสั่งพิเศษไปยังโมดูล Locomotion PC** ซึ่งทำหน้าที่ควบคุมกลไกการเคลื่อนที่ของหุ่น การโจมตีแบบนี้ไม่ต้องอาศัยการเข้าถึงเครือข่ายภายนอก ทำให้เป็นความเสี่ยงต่อสภาพแวดล้อมที่ไม่มีไฟร์วอลล์หรือระบบป้องกัน BLE

Exploitation Paths

• Network‑adjacent path: ผู้โจมตีส่งข้อความผ่าน API ของ chat_go ที่มี payload พิเศษ ทำให้ bashrunner รันคำสั่งโดยไม่ได้รับการตรวจสอบ สิทธิ์ root บนเครื่องเซิร์ฟเวอร์หลัก
• BLE path: ใช้อุปกรณ์ BLE ใกล้เคียงกับหุ่นยนต์ ส่งแพ็กเกจที่ดัดแปลงเพื่อกระตุ้นฟังก์ชันภายใน Locomotion PC การรันโค้ดระดับ root โดยตรง

การผสานสองเส้นทางนี้ทำให้ผู้โจมตีสามารถเลือกวิธีการเข้าถึงตามสถานการณ์ ทั้งจากระยะไกลผ่านเครือข่ายหรือจากใกล้เคียงโดยใช้ BLE ทำให้การป้องกันต้องครอบคลุมทั้งระดับซอฟต์แวร์และฮาร์ดแวร์

Impact & Risks

ผลกระทบของช่องโหว่เหล่านี้มีหลายมิติ ทั้งด้านความปลอดภัยข้อมูลและความเสียหายทางกายภาพ เนื่องจาก Locomotion PC ควบคุมการเคลื่อนที่ของหุ่นยนต์ การได้สิทธิ์ root สามารถทำให้ผู้โจมตีสั่งให้หุ่นยนต์เดินหรือกระทำการอื่น ๆ ที่อาจเป็นอันตรายต่อบุคคลรอบข้าง นอกจากนี้ โค้ดประสงค์ร้ายยังสามารถติดตั้งแบ็คโดเพื่อเก็บข้อมูลเซ็นเซอร์หรือควบคุมระบบโดยผู้ไม่ประสงค์ดี

สำหรับสถาบันการศึกษาและห้องทดลองที่ใช้ G1 EDU ในโครงการวิจัย การโจมตีอาจทำให้ข้อมูลการทดลองสูญหายหรือถูกดัดแปลง ส่งผลต่อความน่าเชื่อถือของผลลัพธ์ทางวิทยาศาสตร์ อีกทั้งยังเพิ่มภาระด้านการจัดการเหตุการณ์และการฟื้นฟูระบบ

Mitigation & Recommendations

Unitree Robotics ได้ออกประกาศให้ผู้ใช้ตรวจสอบเวอร์ชันซอฟต์แวร์ที่ติดตั้งบนหุ่นยนต์ และอัปเดตเป็นแพทช์ล่าสุดเมื่อพร้อม ตามรายงานของ The Hacker News บริษัทยังแนะนำขั้นตอนเบื้องต้นต่อไปนี้

• ปิดหรือจำกัดการเปิดพอร์ต chat_go ที่ไม่จำเป็นบนเครือข่าย
• ปิดฟีเจอร์ BLE หากไม่ได้ใช้งานจริง หรือกำหนด whitelist ของอุปกรณ์ที่ได้รับอนุญาตให้เชื่อมต่อ
• ตรวจสอบลำดับสิทธิ์ของผู้ใช้และบริการระบบ เพื่อป้องกันการรันคำสั่งโดยไม่มีการตรวจสอบ

นอกจากนี้ ผู้ดูแลระบบควรทำ penetration testing ภายในเพื่อยืนยันว่าช่องโหว่ถูกแก้ไขเรียบร้อยแล้ว และจัดทำแผนตอบสนองเหตุฉุกเฉินสำหรับกรณีที่หุ่นยนต์อาจถูกควมคุมโดยผู้ไม่ประสงค์ดี

Industry Response

การเปิดเผยช่องโหว่นี้กระตุ้นให้หลายสถาบันเริ่มทบทวนแนวทางความปลอดภัยของหุ่นยนต์บริการและแพลตฟอร์มการศึกษาแบบเปิด แม้ว่าจะไม่มีข้อมูลอย่างเป็นทางการจากหน่วยงานกำกับดูแลไทย แต่คาดว่าหน่วยงานที่เกี่ยวข้องจะเร่งตรวจสอบมาตรฐานความปลอดภัยของอุปกรณ์ IoT และหุ่นยนต์ในสภาพแวดล้อมการเรียนการสอน

Summary

สองช่องโหว่ CVE‑2026‑76639 และ CVE‑2026‑76640 ทำให้ผู้โจมตีสามารถเข้าถึงระดับ root บน Unitree G1 EDU ผ่านทางเครือข่ายและ BLE ได้ การอัปเดตซอฟต์แวร์และการกำหนดค่าความปลอดภัยอย่างเหมาะสมจึงเป็นสิ่งจำเป็นเพื่อป้องกันความเสี่ยงต่อข้อมูลและความปลอดภัยของผู้ใช้งาน.