สรุปสั้น

นาย Olivier Laflamme นักวิจัยด้านความปลอดภัย เปิดเผยห่วงโซ่การรันโค้ดระยะไกลระดับ root สองชุดที่เป็นอิสระต่อกัน บนหุ่นยนต์ฮิวแมนนอยด์ Unitree G1 EDU โดยหนึ่งในนั้นเป็นเส้นทางที่เริ่มจากบลูทูธพลังงานต่ำ (BLE) และไปจบที่สิทธิ์ root บนคอมพิวเตอร์ควบคุมการเคลื่อนไหว (Locomotion PC) ของหุ่นยนต์

ช่องโหว่ทั้งสองได้รับรหัส CVE-2026-76639 และ CVE-2026-76640 โดยรายการแรกเป็นเส้นทางที่ต้องอยู่ในเครือข่ายใกล้เคียงและวิ่งผ่านคอมโพเนนต์ chat_go ไปยัง bashrunner ส่วนรายการที่สองเริ่มต้นจากการอยู่ในระยะบลูทูธ นักวิจัยเผยแพร่งานวิจัยนี้เมื่อวันที่ 27 สิงหาคม 2569 และอธิบายทั้งสองรายการว่าเป็นเส้นทางสู่ root ที่แยกจากกัน

ประเด็นที่สำคัญที่สุดสำหรับผู้ครอบครองเครื่องคือยังไม่มีการยืนยันว่าเฟิร์มแวร์เวอร์ชันใดแก้ปัญหาแล้ว เอกสารของ Unitree ที่เข้าถึงได้ไม่ได้ระบุรุ่นที่แก้ไขไว้ ทำให้เจ้าของ G1 EDU ไม่มีเป้าหมายเวอร์ชันที่ยืนยันได้สำหรับช่องโหว่ทั้งสองรายการ สิ่งที่ยืนยันได้คือ Unitree แพตช์การตรวจสอบความเป็นเจ้าของระหว่างบัญชีคลาวด์กับหุ่นยนต์ไปแล้วเมื่อเดือนกรกฎาคม 2569 ซึ่ง ณ วันที่เปิดเผยข้อมูล เส้นทางที่อาศัยคลาวด์ในปัจจุบันต้องใช้บัญชีที่ผูกกับ G1 เป้าหมายจริง หรือมีวัสดุกุญแจที่เกี่ยวข้องอยู่ในมือแล้ว

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 28 สิงหาคม 2569 ว่า Laflamme เผยแพร่รายละเอียดทางเทคนิคของช่องโหว่ทั้งสองเมื่อวันที่ 27 สิงหาคม 2569 โดยระบุว่า CVE-2026-76639 อาศัยเงื่อนไข path traversal ใน chat_go เพื่อไปถึง bashrunner และการรันผ่าน bashrunner ส่งผลให้ได้การรันโค้ดในสิทธิ์ root บน Locomotion PC

นักวิจัยอธิบายว่า CVE-2026-76639 เป็นช่องโหว่รันโค้ดระยะไกลที่เป็นอิสระในตัวเอง แม้ว่าเขาจะนำมาใช้ซ้ำเป็นหนึ่งในองค์ประกอบพื้นฐานของการสาธิต ระหว่างที่แสดงให้เห็นห่วงโซ่ฝั่ง BLE ที่ติดตามด้วยรหัส CVE-2026-76640 ซึ่งแยกจากกัน จุดนี้สำคัญเพราะทำให้ไม่สามารถสรุปว่าการแก้เส้นทางหนึ่งจะปิดอีกเส้นทางไปด้วย

ในแง่ขอบเขตของปัญหา รายละเอียดยังมีความไม่แน่นอนอยู่หลายจุด ไทม์ไลน์ของงานวิจัยแสดงให้เห็นว่า Laflamme อัปเกรดหุ่นยนต์ที่ใช้ทดสอบเป็นเวอร์ชัน V1.5.2 แต่ลำดับเหตุการณ์ดังกล่าวไม่ได้ยืนยันในตัวเองว่าเวอร์ชัน V1.5.1.1 ได้รับผลกระทบ ขณะที่หน้าผลิตภัณฑ์อย่างเป็นทางการของ Unitree แยก G1 กับ G1 EDU เป็นคนละรุ่น และยังไม่มีการยืนยันว่าช่องโหว่ทั้งสองรายการนี้ครอบคลุมหุ่นยนต์รุ่นอื่นของ Unitree หรือไม่ ทั้งนี้ The Hacker News ได้ติดต่อ Unitree เพื่อขอคำยืนยันเรื่องเวอร์ชันเฟิร์มแวร์ที่แก้ไขแล้ว ขอบเขตผลิตภัณฑ์ที่ได้รับผลกระทบ และสถานะการแก้ไขในปัจจุบัน และจะอัปเดตเมื่อได้รับคำตอบ

รายละเอียดช่องโหว่

เส้นทางแรกคือ CVE-2026-76639 ซึ่งเป็นรูปแบบที่ตรงไปตรงมา คอมโพเนนต์ chat_go มีเงื่อนไข path traversal ที่ทำให้ผู้โจมตีอ้างอิงไปยัง bashrunner ได้ และเมื่อการรันเดินผ่าน bashrunner ผลลัพธ์คือการรันโค้ดด้วยสิทธิ์ root บน Locomotion PC ซึ่งเป็นสมองส่วนที่ควบคุมการเคลื่อนไหวของหุ่นยนต์โดยตรง

เส้นทางที่สองคือ CVE-2026-76640 ซึ่งซับซ้อนกว่าและน่าสนใจกว่าในเชิงสถาปัตยกรรม จุดเริ่มต้นคือช่องทางเขียนข้อมูลผ่าน BLE ที่รับการทำงานขั้นเริ่มต้น (bootstrap) โดยไม่ต้องจับคู่บลูทูธก่อน อย่างไรก็ตามตัววัสดุ bootstrap เองยังได้รับการปกป้องอยู่ และการตั้งค่าไวไฟในขั้นถัดไปก็ยังต้องอาศัยสถานะ BLE ที่ผ่านการยืนยันตัวตนของแอปพลิเคชัน กล่าวคือลำพังการอยู่ในระยะบลูทูธยังไม่พอ

จุดที่ทำให้ห่วงโซ่นี้ต่อกันติดจึงไม่ได้อยู่ที่ตัวหุ่นยนต์ แต่อยู่ที่บริการคลาวด์ ระหว่างการวิจัย บริการคลาวด์ของ Unitree ยอมรับบัญชี Unitree ที่ถูกต้องสำหรับคำขอกู้คืนกุญแจ แต่ไม่ได้ตรวจสอบว่าบัญชีนั้นเป็นเจ้าของหุ่นยนต์ที่ระบุมาจริงหรือไม่ ช่องว่างด้านการอนุญาตนี้ทำให้บัญชีหนึ่งกู้คืนวัสดุกุญแจที่ผูกกับ G1 EDU ตัวอื่นได้ และกุญแจที่ได้มาก็นำไปใช้สร้างสถานะ BLE ที่ผ่านการยืนยันตัวตน ซึ่งเป็นเงื่อนไขที่การตั้งค่าไวไฟต้องการ

เมื่อห่วงโซ่เดินมาถึงโค้ดส่วนตั้งค่าไวไฟ Laflamme บันทึกว่าพบ buffer overflow ที่จุดนั้น ซึ่งให้ผลเป็นการรันโค้ดระดับ root บน Locomotion PC เขาจำกัดการทดสอบการแพร่กระจายไว้กับหุ่นยนต์ G1 เพียงสองตัวในห้องเดียวกัน และระบุในการเปิดเผยข้อมูลวันที่ 27 สิงหาคมว่าการแก้ไขเรื่องการอนุญาตฝั่งคลาวด์ทำให้ขั้นตอนการสาธิตชุดนั้นใช้ไม่ได้อีกต่อไป

ผลกระทบ

สิ่งที่ทำให้ช่องโหว่ชุดนี้ต่างจากช่องโหว่ในอุปกรณ์ไอโอทีทั่วไปคือปลายทางของมัน เมื่อผู้โจมตีได้สิทธิ์ root บนคอมพิวเตอร์ที่ควบคุมการเคลื่อนไหว ผลที่ตามมาไม่ได้จำกัดอยู่ที่ข้อมูล แต่รวมถึงการควบคุมวัตถุที่เคลื่อนไหวได้ในโลกจริง ซึ่งอยู่ในสภาพแวดล้อมเดียวกับคน G1 EDU เป็นรุ่นที่ทำตลาดสำหรับงานวิจัยและการศึกษา จึงมักอยู่ในห้องปฏิบัติการของมหาวิทยาลัยและศูนย์วิจัย ที่มีนักศึกษาและเจ้าหน้าที่ทำงานอยู่ใกล้ ๆ

เส้นทาง BLE ยังเปลี่ยนสมมติฐานเรื่องระยะการโจมตี อุปกรณ์จำนวนมากถูกป้องกันด้วยแนวคิดว่าอยู่หลังไฟร์วอลล์หรือในเครือข่ายปิด แต่บลูทูธไม่สนใจขอบเขตเครือข่าย ผู้โจมตีที่เดินเข้ามาในระยะสัญญาณก็เริ่มห่วงโซ่ได้ทันทีโดยไม่ต้องผ่านการจับคู่ ซึ่งหมายความว่ามาตรการควบคุมทางเครือข่ายที่องค์กรใช้อยู่ไม่ได้ช่วยอะไรกับเส้นทางนี้

ประเด็นเชิงโครงสร้างที่ควรจดจำคือความล้มเหลวที่เป็นหัวใจของห่วงโซ่ที่สองไม่ได้อยู่ในตัวหุ่นยนต์เลย แต่อยู่ในบริการคลาวด์ที่ตรวจการยืนยันตัวตนแต่ไม่ตรวจการอนุญาต การรู้ว่าใครกำลังขอ กับการรู้ว่าคนนั้นมีสิทธิ์ในทรัพย์สินชิ้นนั้นหรือไม่ เป็นคนละเรื่องกัน และในระบบที่ผูกอุปกรณ์เข้ากับบัญชีคลาวด์ ช่องว่างระหว่างสองเรื่องนี้คือจุดที่ทำให้กุญแจของอุปกรณ์เครื่องหนึ่งตกไปอยู่ในมือของบัญชีที่ไม่เกี่ยวข้อง

ในทางกลับกัน ควรระบุข้อจำกัดของหลักฐานให้ชัดด้วย การทดสอบการแพร่กระจายทำกับหุ่นยนต์เพียงสองตัวในห้องเดียว ไม่ใช่การพิสูจน์การแพร่แบบหนอนในสภาพใช้งานจริง และการแก้ไขฝั่งคลาวด์เมื่อเดือนกรกฎาคมก็ปิดเฉพาะเส้นทางสาธิตชุดนั้น ไม่ได้แปลว่าตัวช่องโหว่บนอุปกรณ์ ทั้ง path traversal และ buffer overflow ได้รับการแก้ไขแล้ว

คำแนะนำ

เนื่องจากยังไม่มีเวอร์ชันเฟิร์มแวร์ที่ยืนยันได้ว่าแก้ไขแล้ว เจ้าของ G1 EDU จึงต้องพึ่งการควบคุมสภาพแวดล้อมเป็นหลัก ควรถือว่าหุ่นยนต์อยู่ในสถานะที่ไม่มีแพตช์ และจำกัดการเข้าถึงทางกายภาพให้อยู่ในพื้นที่ที่ควบคุมได้ เพราะเส้นทาง BLE ต้องการเพียงการอยู่ในระยะสัญญาณ การลดโอกาสที่คนนอกจะเข้ามาใกล้เครื่องขณะเปิดใช้งานจึงเป็นมาตรการที่ได้ผลตรงที่สุด

ในด้านเครือข่าย ควรแยกหุ่นยนต์ออกไปอยู่ในเครือข่ายเฉพาะที่ไม่เชื่อมกับระบบงานหลักขององค์กร เพื่อจำกัดว่าเครื่องที่ถูกยึดจะไปต่อได้ถึงไหน และปิดการเชื่อมต่อไร้สายเมื่อไม่ได้ใช้งาน โดยเฉพาะในช่วงที่เครื่องถูกจอดทิ้งไว้ในห้องปฏิบัติการ

ด้านบัญชีคลาวด์ ควรทบทวนว่ามีบัญชีใดผูกกับหุ่นยนต์ในองค์กรบ้าง และถอนบัญชีที่ไม่จำเป็นออก เนื่องจากช่องว่างที่ถูกใช้ในงานวิจัยนี้เกี่ยวข้องกับการกู้คืนวัสดุกุญแจผ่านบัญชีโดยตรง แม้ผู้ผลิตจะแก้การตรวจสอบความเป็นเจ้าของไปแล้วเมื่อเดือนกรกฎาคม 2569 ก็ตาม สุดท้ายควรติดตามประกาศจาก Unitree เรื่องเวอร์ชันเฟิร์มแวร์ที่แก้ไขและขอบเขตรุ่นที่ได้รับผลกระทบ ซึ่งเป็นข้อมูลที่ยังขาดอยู่ในขณะนี้

แหล่งอ้างอิง