CVE-2026-77057
NiskieCVSS 2.3Streszczenie
boneIO Black nie ogranicza liczby prób uwierzytelnienia w interfejsie webowym (POST /api/login) ani w usłudze SSH oraz nie wymusza złożoności haseł. Nieuwierzytelniony zdalny atakujący może wykonywać nieograniczone próby siłowe, potencjalnie przejmując konta użytkowników i uzyskując nieuprawniony dostęp do urządzenia.
Ocena ryzyka
Brak limitowania prób logowania umożliwia skuteczny atak słownikowy lub brute-force, co może doprowadzić do przejęcia urządzenia i powiązanych usług. Słabe hasła dodatkowo zwiększają to ryzyko.
Rekomendacja
Zaktualizuj boneIO Black do wersji 1.6.0 lub nowszej, która wprowadza limitowanie prób logowania, minimalną długość hasła 8 znaków i ograniczenie prób SSH. Ustaw silne, unikalne hasła dla wszystkich kont.
Inne podatności w boneIO Black
Zobacz wszystkie- CVE-2026-77062Średnie
Interfejs webowy boneIO Black nie posiada odpowiednich zabezpieczeń przed clickjackingiem. Zdalny atakujący może osadzić panel sterowania w iframe na złośliwej stronie i nakłonić uwierzytelnionego użytkownika w sieci wewnętrznej do klikania przycisków aktywujących przekaźniki, otwierających bramy lub sterujących roletami. Ze względu na CVE-2026-77053 (uwierzytelnianie domyślnie wyłączone) każdy użytkownik tej samej sieci wewnętrznej może wywołać akcje kontrolowane przez atakującego, odwiedzając złośliwą stronę.
- CVE-2026-77061Średnie
boneIO Black wyłącza uwierzytelnianie dla kilku punktów końcowych API. Nieuwierzytelniony zdalny atakujący w sieci lokalnej może pobrać logi systemowe, wersję firmware, numer seryjny, nazwę użytkownika MQTT, listę plików konfiguracyjnych oraz dokumentację API. Dane te ułatwiają rekonesans i umożliwiają ukierunkowane ataki na urządzenie.
- CVE-2026-77060Średnie
boneIO black_debian_images przechowuje plik haseł brokera Mosquitto MQTT w /etc/mosquitto/passwd z uprawnieniami umożliwiającymi odczyt wszystkim użytkownikom. Każdy lokalny użytkownik może odczytać skróty haseł wszystkich kont MQTT i przeprowadzić ataki słownikowe w trybie offline.
- CVE-2026-77059Wysokie
boneIO Black zawiera warunek wyścigu TOCTOU w funkcji create_timedatectl_sudoers_file() w pliku boneio/webui/routes/timezone_sudoers.py. Funkcja zapisuje reguły sudoers do przewidywalnego pliku tymczasowego, waliduje je, a następnie instaluje z uprawnieniami roota, co pozwala lokalnemu atakującemu podmienić zawartość lub wykorzystać atak symlink. Prowadzi to do wstrzyknięcia dowolnych reguł sudoers i lokalnej eskalacji do roota. Problem naprawiono w wersji 1.6.0.
- CVE-2026-77058Średnie
boneIO Black jest podatny na Cross-Site Request Forgery (CSRF) na wszystkich punktach końcowych API zmieniających stan, ponieważ nie posiada tokenów CSRF i nie waliduje nagłówków Origin ani Referer. Zdalny atakujący może spreparować złośliwą stronę, która po odwiedzeniu przez użytkownika w sieci wewnętrznej wysyła żądania cross-origin do urządzenia, umożliwiając ponowne uruchomienie kontrolera, przełączanie przekaźników, sterowanie bramami i roletami lub wyłączenie urządzenia. Ze względu na CVE-2026-77053 (uwierzytelnianie domyślnie wyłączone) każdy użytkownik tej samej sieci wewnętrznej może wywołać akcje kontrolowane przez atakującego.
- CVE-2026-77056Wysokie
Obraz boneIO black_debian_images zawiera broker Mosquitto MQTT używający tych samych domyślnych poświadczeń na wszystkich urządzeniach. Poświadczenia są publicznie udokumentowane na GitHubie, a instrukcje nie wskazują potrzeby ich zmiany. Zdalny atakujący może uzyskać pełny odczyt i zapis do brokera, kontrolować przekaźniki, rolety i bramy oraz wstrzykiwać fałszywe encje do Home Assistant. Problem naprawiono w wersji 1.6.0.
- CVE-2026-77054Średnie
boneIO Black przechowuje hasła, w tym hasło brokera MQTT i panelu webowego, w postaci jawnej. Endpoint GET /api/config zwraca pełną konfigurację z ujawnionymi hasłami usług podrzędnych, a każdy uwierzytelniony użytkownik może je odczytać. Ze względu na CVE-2026-77053 (uwierzytelnianie domyślnie wyłączone) nieuwierzytelniony atakujący w tej samej sieci lokalnej może pobrać wszystkie hasła.
- CVE-2026-77053Wysokie
Firmware boneIO Black ma domyślnie wyłączone uwierzytelnianie. Jego zarządcze API web nasłuchuje na wszystkich interfejsach sieciowych i udostępnia wszystkie endpointy bez wymagania poświadczeń. Nieuwierzytelniony zdalny atakujący może w pełni kontrolować urządzenie, powodować odmowę usługi, modyfikować konfigurację i sterować podłączonymi obwodami fizycznymi. Problem naprawiono w wersji 1.6.0.
- CVE-2026-77052Wysokie
boneIO Black udostępnia instancję Node-RED bez uwierzytelniania pod ścieżką /nodered/ poprzez reverse proxy Caddy. Node-RED Admin API pozwala wdrażać przepływy wykonujące dowolne polecenia systemowe. Nieuwierzytelniony atakujący w sieci lokalnej może wdrożyć złośliwy przepływ, uzyskać zdalne wykonanie kodu i przejąć pełną kontrolę nad systemem automatyki domowej. Problem naprawiono w wersji 1.6.0.
- CVE-2026-77055Krytyczne
Obraz boneIO black_debian_images nadaje kontu usługi boneio nadmierne uprawnienia, w tym pełny dostęp sudo bez hasła oraz członkostwo w grupie docker. Lokalny atakujący, który przejmie konto boneio, może wykorzystać te uprawnienia do eskalacji do roota. Problem naprawiono w wersji 1.6.0.
Oryginalny opis (angielski, źródło NVD)
boneIO Black does not limit authentication attempts on its web interface (POST /api/login) or SSH service, and does not enforce password complexity. An unauthenticated remote attacker can make unlimited brute-force login attempts, potentially compromising user accounts and gaining unauthorized access to the device. This issue was fixed in version 1.6.0: web login attempts are rate-limited per source address and per account, panel passwords must be at least 8 characters long, and SSH allows three authentication attempts per connection with a shortened login grace time.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS