概要

セキュリティ研究者のOlivier Laflamme氏は、価格約2万ドルのヒューマノイドロボット「Unitree G1 EDU」に、認証なしでroot権限のリモートコード実行(RCE)を許す2件の重大な脆弱性(CVE-2026-76639、CVE-2026-76640)を発見したと発表した。研究者は「UniBLEed」と名付けたBluetooth Low Energy(BLE)経由の攻撃手法を公開しており、ペアリングも物理的な接触も必要とせず、近くにいるだけでロボットを完全に乗っ取れる点が特徴だ。最も深刻なのは、一度侵害したロボットが同じ手口でBluetooth範囲内の別のロボットを攻撃できる「ワーム的」な拡散リスクが指摘されている点で、倉庫や研究施設、キャンパスなど複数台のG1が稼働する環境では被害が連鎖的に広がりかねない。

攻撃手法の詳細

Laflamme氏が公開した攻撃チェーンは、BLE・クラウド基盤・組み込みサービスにまたがる複数の脆弱性を連結させたものだ。まず、ペアリングなしで書き込み可能なBLEのGATTキャラクタリスティック「0xFFE2」を悪用し、ロボットに直接コマンドを送信する。次に、Unitreeのクラウド側エンドポイント「/device/bindExtData」に着目した。このエンドポイントは、ログイン済みのアカウントであれば所有関係を検証せずにG1のAES-128暗号鍵を復号して返してしまう「クラウド・オラクル」的な欠陥を抱えており、攻撃者は自分が所有していない任意のロボットの鍵を入手できてしまう。この単一の鍵はBLEハンドシェイクの認証だけでなく、WebRTCシグナリングチャネルへのアクセスも解放する。

鍵を手に入れた攻撃者は、Wi-Fi設定コマンドを使ってロボットを攻撃者の管理下にあるネットワークへ強制的に接続させ(設定スクリプトのヒアドキュメント処理に起因するインジェクション)、最終的にはBluetoothサーバー「btgatt-server」内の500バイトのバッファに1,050バイトのペイロードを書き込むバッファオーバーフローでメモリを破壊し、イベントループを乗っ取ってroot権限で任意のコマンドを実行する(CVE-2026-76640)。もう一方の脆弱性(CVE-2026-76639)は、AIチャットサービス「chat_go」のナレッジアップロード機能に存在するパストラバーサルで、入力検証の不備を突いて任意のファイルを信頼済みディレクトリに書き込み、bashrunnerサービスを再起動させることでroot権限のコード実行に至る。Laflamme氏は「使ったのは目新しいツールや最先端の攻撃技術ではなく、標準的な逆コンパイル、以前から知られていた暗号方式の弱点、数十年前からあるバッファオーバーフロー手法だけだ」と述べており、高度な技術がなくても再現可能な攻撃であることを強調している。

影響とリスク

攻撃が成功すると、搭載されたカメラやマイクを通じた盗聴・盗撮、虚偽の音声の生成、衝突検知機能の無効化(体重約40kgの機体であることを踏まえると重大な安全リスクとなる)、搭載AIモデルの改ざん、動作や認識ロジックの操作などが可能になるとされる。研究では検証を同一室内の2台のロボットに限定して行ったとしているが、BLE範囲内であれば台数を問わず同様の手口が成立しうるとみられ、他のUnitree製品(Go2、B2、R1など)にも共通するソフトウェアコンポーネントが使われている可能性から、影響範囲がG1以外にも及ぶ懸念も指摘されている。

対応と今後の課題

Laflamme氏は2026年5月にまず1件目のRCE(chat_go経由)を発見してUnitreeに報告・検証を受け、6月にはBLE経由の2件目のRCEも発見して同様に報告、Unitreeは協力的に対応し、7月から8月にかけてクラウド側の所有権検証の欠陥を修正、バウンティを支払ってCVEも発行された。ただし、この修正はクラウド経由で鍵を取得する当初の攻撃フローを断つものであり、BLEのペアリング要件やbtgatt-serverのバッファオーバーフローといったファームウェアレベルのより根本的な修正は依然として保留されている。G1 EDUのオーナー向けに、確定したファームウェア更新のリリース情報も現時点で明確に案内されていない。Laflamme氏は「ロボティクス分野では専門のセキュリティ人材が不足しており、セキュリティの確保は依然として難しい」と指摘しており、複数台のG1を運用する組織に対しては、パッチ適用状況の確認と、可能な範囲でのネットワーク・物理的な隔離など追加的な対策の検討が急がれる。