Opis podatności

CERT Polska otrzymał zgłoszenie o podatnościach w produktach boneIO i koordynował proces ujawniania informacji.

Podatność CVE-2026-77052: boneIO Black udostępnia instancję Node-RED bez uwierzytelnienia pod ścieżką /nodered/. API tej usługi pozwala na wdrażanie sekwencji działań wykonujących dowolne polecenia systemowe. Nieuwierzytelniony atakujący z sieci lokalnej może wdrożyć złośliwą sekwencję, uzyskać zdalne wykonanie kodu i przejąć pełną kontrolę nad systemem automatyki domowej.

Problem ten naprawiono w wersji 1.6.0.

Podatność CVE-2026-77053: Firmware boneIO Black domyślnie nie wymaga uwierzytelnienia. Webowe API zarządzania nasłuchuje na wszystkich interfejsach sieciowych i udostępnia wszystkie endpointy bez poświadczeń. Dzięki temu zdalny, nieuwierzytelniony atakujący może uzyskać pełną kontrolę nad urządzeniem: spowodować odmowę usługi, zmodyfikować konfigurację i sterować podłączonymi obwodami fizycznymi.

Problem ten został rozwiązany w wersji 1.6.0: urządzenie bez konta administratora odrzuca żądania API, dopóki właściciel nie utworzy takiego konta, a każda ścieżka API wymaga uwierzytelnienia.

Wersje starsze niż 1.2.0 bazują na systemie Debian 10. Nie są one już wspierane i nie można ich zaktualizować. Na te urządzenia należy ponownie wgrać obraz systemowy w wersji 1.6.0

Podatność CVE-2026-77054: W oprogramowaniu boneIO Black zidentyfikowano podatność polegającą na przechowywaniu haseł, w tym haseł brokera MQTT i panelu webowego, w postaci jawnej. Endpoint GET /api/config zwraca pełną konfigurację wraz z hasłami, co umożliwia uwierzytelnionemu atakującemu pozyskanie haseł administracyjnych.

Ze względu na CVE-2026-77053 (domyślny brak uwierzytelnienia) hasła może pozyskać także nieuwierzytelniony atakujący z tej samej sieci lokalnej.

Problem ten aprawiono w wersji 1.6.0: API i logi nie zwracają już haseł.

Podatność CVE-2026-77055: boneIO black_debian_images nadaje kontu usługi boneio nadmierne uprawnienia, w tym pełny dostęp do sudo bez hasła oraz członkostwo w grupie docker. Lokalny atakujący, który przejmie konto użytkownika boneio, może wykorzystać te uprawnienia do podniesienia uprawnień do poziomu root.

Problem ten został rozwiązany w wersji 1.6.0: aktualizacja usuwa regułę sudoers oraz członkostwo w grupie docker. Operacje uprzywilejowane są teraz wykonywane za pośrednictwem programów pomocniczych, które akceptują jedynie stały zestaw poleceń, a migracje są weryfikowane za pomocą podpisów Ed25519.

Podatność CVE-2026-77056: boneIO black_debian_images jest dostarczany z brokerem Mosquitto MQTT, który na wszystkich urządzeniach używa tych samych domyślnych danych uwierzytelniających. Dane te są publicznie udokumentowane na GitHub, a instrukcja nie zawiera żadnej wskazówki dotyczącej ich zmiany. Zdalny atakujący może wykorzystać te dane, aby uzyskać pełny dostęp do odczytu i zapisu w brokerze, co umożliwia kontrolę nad podłączonymi przekaźnikami, roletami i bramami oraz wstrzyknięcie fałszywych obiektów do połączonej instalacji Home Assistant.

Problem ten został rozwiązany w wersji 1.6.0 obrazu: hasła MQTT są generowane indywidualnie dla każdego urządzenia przy pierwszym uruchomieniu. Urządzenia zaktualizowane z wcześniejszych wersji zachowują istniejące dane uwierzytelniające brokera; od wersji boneio 1.6.0 panel WWW zgłasza użytkownikowi, że używane poświadczenia to wartości domyślne, i należy je zmienić.

Podatność CVE-2026-77057: boneIO Black nie ogranicza prób uwierzytelnienia w interfejsie webowym (POST /api/login) ani w usłudze SSH, a także nie wymusza złożoności haseł. Zdalny, nieuwierzytelniony atakujący może wykonywać nieograniczone próby logowania typu brute-force, co może prowadzić do przejęcia kont użytkowników i uzyskania nieautoryzowanego dostępu do urządzenia.

Problem ten został rozwiązany w wersji 1.6.0: próby logowania przez interfejs webowy są limitowane dla adresu źródłowego oraz dla konta, hasła panelu muszą mieć co najmniej 8 znaków, a SSH umożliwia trzy próby uwierzytelnienia.

Podatność CVE-2026-77058: W oprogramowaniu boneIO Black zidentyfikowano podatność typu Cross-Site Request Forgery (CSRF) we wszystkich endpointach API zmieniających stan urządzenia. Oprogramowanie nie używa tokenów CSRF, co umożliwia zdalnemu atakującemu przygotowanie złośliwej strony internetowej, która po odwiedzeniu przez użytkownika sieci wewnętrznej wysyła żądania do urządzenia.

Ponieważ uwierzytelnianie jest domyślnie wyłączone (CVE-2026-77053), ofiarą może być każdy użytkownik tej sieci. Atakujący może w ten sposób ponownie uruchomić sterownik, przełączać obwody przekaźnikowe, sterować bramami i roletami lub wyłączyć urządzenie.

Problem ten naprawiono w wersji 1.6.0.

Podatność CVE-2026-77059: W boneIO Black zidentyfikowano podatność typu TOCTOU race condition w funkcji create_timedatectl_sudoers_file() w pliku boneio/webui/routes/timezone_sudoers.py. Funkcja zapisuje reguły sudoers do przewidywalnego pliku tymczasowego, sprawdza je, a potem instaluje z uprawnieniami root. Lokalny atakujący może wykorzystać czas między sprawdzeniem reguł, a instalacją, aby podmienić zawartość pliku na złośliwą, co umożliwia wstrzyknięcie dowolnych reguł sudoers i podniesienie uprawnień do poziomu root.

Problem ten został naprawiony w wersji 1.6.0.

Podatność CVE-2026-77060: W boneIO black_debian_images plik haseł brokera Mosquitto MQTT (/etc/mosquitto/passwd) może odczytać każdy lokalny użytkownik. Umożliwia to atakującemu zdobycie skrótów haseł wszystkich kont MQTT i przeprowadzenie ataku słownikowego offline.

Problem ten naprawiono w wersji 1.6.0.

Podatność CVE-2026-77061: W boneIO Black kilka endpointów API jest bezpośrednio wykluczone z uwierzytelnienia. Zdalny, nieuwierzytelniony atakujący znajdujący się w sieci lokalnej może pozyskać logi systemowe, wersję firmware, numer seryjny, nazwę użytkownika MQTT, listy plików konfiguracyjnych oraz dokumentację API.

Problem ten został naprawiony w wersji 1.6.0: każda ścieżka API wymaga uwierzytelnionej roli, interaktywna dokumentacja API została wyłączona, a numer seryjny nie jest udostępniany anonimowym użytkownikom.

Podatność CVE-2026-77062: Interfejs webowy boneIO Black nie posiada odpowiednich mechanizmów ochronnych przed atakami clickjacking. Zdalny atakujący może osadzić panel sterowania w elemencie iframe na złośliwej stronie internetowej i nakłonić uwierzytelnionego użytkownika w sieci wewnętrznej do kliknięcia przycisków, które aktywują przekaźniki, otwierają bramy lub sterują roletami. Może to prowadzić do nieautoryzowanych zmian stanu z potencjalnymi konsekwencjami dla bezpieczeństwa fizycznego.

Co istotne, ze względu na CVE-2026-77053 (domyślny brak uwierzytelnienia), każdy użytkownik w tej samej sieci wewnętrznej może wywołać kontrolowane przez atakującego działania, odwiedzając złośliwą stronę internetową.

Problem ten został naprawiony w wersji 1.6.0

Podziękowania

Za zgłoszenie podatności dziękujemy Mateuszowi Włodarczakowi z s3ga.