CVE-2026-77054

Interfejs webowy boneIO Black nie posiada odpowiednich zabezpieczeń przed clickjackingiem. Zdalny atakujący może osadzić panel sterowania w iframe na złośliwej stronie i nakłonić uwierzytelnionego użytkownika w sieci wewnętrznej do klikania przycisków aktywujących przekaźniki, otwierających bramy lub sterujących roletami. Ze względu na CVE-2026-77053 (uwierzytelnianie domyślnie wyłączone) każdy użytkownik tej samej sieci wewnętrznej może wywołać akcje kontrolowane przez atakującego, odwiedzając złośliwą stronę.

boneIO Black wyłącza uwierzytelnianie dla kilku punktów końcowych API. Nieuwierzytelniony zdalny atakujący w sieci lokalnej może pobrać logi systemowe, wersję firmware, numer seryjny, nazwę użytkownika MQTT, listę plików konfiguracyjnych oraz dokumentację API. Dane te ułatwiają rekonesans i umożliwiają ukierunkowane ataki na urządzenie.

boneIO black_debian_images przechowuje plik haseł brokera Mosquitto MQTT w /etc/mosquitto/passwd z uprawnieniami umożliwiającymi odczyt wszystkim użytkownikom. Każdy lokalny użytkownik może odczytać skróty haseł wszystkich kont MQTT i przeprowadzić ataki słownikowe w trybie offline.

boneIO Black zawiera warunek wyścigu TOCTOU w funkcji create_timedatectl_sudoers_file() w pliku boneio/webui/routes/timezone_sudoers.py. Funkcja zapisuje reguły sudoers do przewidywalnego pliku tymczasowego, waliduje je, a następnie instaluje z uprawnieniami roota, co pozwala lokalnemu atakującemu podmienić zawartość lub wykorzystać atak symlink. Prowadzi to do wstrzyknięcia dowolnych reguł sudoers i lokalnej eskalacji do roota. Problem naprawiono w wersji 1.6.0.

boneIO Black jest podatny na Cross-Site Request Forgery (CSRF) na wszystkich punktach końcowych API zmieniających stan, ponieważ nie posiada tokenów CSRF i nie waliduje nagłówków Origin ani Referer. Zdalny atakujący może spreparować złośliwą stronę, która po odwiedzeniu przez użytkownika w sieci wewnętrznej wysyła żądania cross-origin do urządzenia, umożliwiając ponowne uruchomienie kontrolera, przełączanie przekaźników, sterowanie bramami i roletami lub wyłączenie urządzenia. Ze względu na CVE-2026-77053 (uwierzytelnianie domyślnie wyłączone) każdy użytkownik tej samej sieci wewnętrznej może wywołać akcje kontrolowane przez atakującego.

boneIO Black nie ogranicza liczby prób uwierzytelnienia w interfejsie webowym (POST /api/login) ani w usłudze SSH oraz nie wymusza złożoności haseł. Nieuwierzytelniony zdalny atakujący może wykonywać nieograniczone próby siłowe, potencjalnie przejmując konta użytkowników i uzyskując nieuprawniony dostęp do urządzenia.

Obraz boneIO black_debian_images zawiera broker Mosquitto MQTT używający tych samych domyślnych poświadczeń na wszystkich urządzeniach. Poświadczenia są publicznie udokumentowane na GitHubie, a instrukcje nie wskazują potrzeby ich zmiany. Zdalny atakujący może uzyskać pełny odczyt i zapis do brokera, kontrolować przekaźniki, rolety i bramy oraz wstrzykiwać fałszywe encje do Home Assistant. Problem naprawiono w wersji 1.6.0.

Firmware boneIO Black ma domyślnie wyłączone uwierzytelnianie. Jego zarządcze API web nasłuchuje na wszystkich interfejsach sieciowych i udostępnia wszystkie endpointy bez wymagania poświadczeń. Nieuwierzytelniony zdalny atakujący może w pełni kontrolować urządzenie, powodować odmowę usługi, modyfikować konfigurację i sterować podłączonymi obwodami fizycznymi. Problem naprawiono w wersji 1.6.0.

boneIO Black udostępnia instancję Node-RED bez uwierzytelniania pod ścieżką /nodered/ poprzez reverse proxy Caddy. Node-RED Admin API pozwala wdrażać przepływy wykonujące dowolne polecenia systemowe. Nieuwierzytelniony atakujący w sieci lokalnej może wdrożyć złośliwy przepływ, uzyskać zdalne wykonanie kodu i przejąć pełną kontrolę nad systemem automatyki domowej. Problem naprawiono w wersji 1.6.0.

Obraz boneIO black_debian_images nadaje kontu usługi boneio nadmierne uprawnienia, w tym pełny dostęp sudo bez hasła oraz członkostwo w grupie docker. Lokalny atakujący, który przejmie konto boneio, może wykorzystać te uprawnienia do eskalacji do roota. Problem naprawiono w wersji 1.6.0.