CVE-2026-77062

boneIO Black wyłącza uwierzytelnianie dla kilku punktów końcowych API. Nieuwierzytelniony zdalny atakujący w sieci lokalnej może pobrać logi systemowe, wersję firmware, numer seryjny, nazwę użytkownika MQTT, listę plików konfiguracyjnych oraz dokumentację API. Dane te ułatwiają rekonesans i umożliwiają ukierunkowane ataki na urządzenie.

boneIO black_debian_images przechowuje plik haseł brokera Mosquitto MQTT w /etc/mosquitto/passwd z uprawnieniami umożliwiającymi odczyt wszystkim użytkownikom. Każdy lokalny użytkownik może odczytać skróty haseł wszystkich kont MQTT i przeprowadzić ataki słownikowe w trybie offline.

boneIO Black zawiera warunek wyścigu TOCTOU w funkcji create_timedatectl_sudoers_file() w pliku boneio/webui/routes/timezone_sudoers.py. Funkcja zapisuje reguły sudoers do przewidywalnego pliku tymczasowego, waliduje je, a następnie instaluje z uprawnieniami roota, co pozwala lokalnemu atakującemu podmienić zawartość lub wykorzystać atak symlink. Prowadzi to do wstrzyknięcia dowolnych reguł sudoers i lokalnej eskalacji do roota. Problem naprawiono w wersji 1.6.0.

boneIO Black jest podatny na Cross-Site Request Forgery (CSRF) na wszystkich punktach końcowych API zmieniających stan, ponieważ nie posiada tokenów CSRF i nie waliduje nagłówków Origin ani Referer. Zdalny atakujący może spreparować złośliwą stronę, która po odwiedzeniu przez użytkownika w sieci wewnętrznej wysyła żądania cross-origin do urządzenia, umożliwiając ponowne uruchomienie kontrolera, przełączanie przekaźników, sterowanie bramami i roletami lub wyłączenie urządzenia. Ze względu na CVE-2026-77053 (uwierzytelnianie domyślnie wyłączone) każdy użytkownik tej samej sieci wewnętrznej może wywołać akcje kontrolowane przez atakującego.

boneIO Black nie ogranicza liczby prób uwierzytelnienia w interfejsie webowym (POST /api/login) ani w usłudze SSH oraz nie wymusza złożoności haseł. Nieuwierzytelniony zdalny atakujący może wykonywać nieograniczone próby siłowe, potencjalnie przejmując konta użytkowników i uzyskując nieuprawniony dostęp do urządzenia.

Obraz boneIO black_debian_images zawiera broker Mosquitto MQTT używający tych samych domyślnych poświadczeń na wszystkich urządzeniach. Poświadczenia są publicznie udokumentowane na GitHubie, a instrukcje nie wskazują potrzeby ich zmiany. Zdalny atakujący może uzyskać pełny odczyt i zapis do brokera, kontrolować przekaźniki, rolety i bramy oraz wstrzykiwać fałszywe encje do Home Assistant. Problem naprawiono w wersji 1.6.0.

boneIO Black przechowuje hasła, w tym hasło brokera MQTT i panelu webowego, w postaci jawnej. Endpoint GET /api/config zwraca pełną konfigurację z ujawnionymi hasłami usług podrzędnych, a każdy uwierzytelniony użytkownik może je odczytać. Ze względu na CVE-2026-77053 (uwierzytelnianie domyślnie wyłączone) nieuwierzytelniony atakujący w tej samej sieci lokalnej może pobrać wszystkie hasła.

Firmware boneIO Black ma domyślnie wyłączone uwierzytelnianie. Jego zarządcze API web nasłuchuje na wszystkich interfejsach sieciowych i udostępnia wszystkie endpointy bez wymagania poświadczeń. Nieuwierzytelniony zdalny atakujący może w pełni kontrolować urządzenie, powodować odmowę usługi, modyfikować konfigurację i sterować podłączonymi obwodami fizycznymi. Problem naprawiono w wersji 1.6.0.

boneIO Black udostępnia instancję Node-RED bez uwierzytelniania pod ścieżką /nodered/ poprzez reverse proxy Caddy. Node-RED Admin API pozwala wdrażać przepływy wykonujące dowolne polecenia systemowe. Nieuwierzytelniony atakujący w sieci lokalnej może wdrożyć złośliwy przepływ, uzyskać zdalne wykonanie kodu i przejąć pełną kontrolę nad systemem automatyki domowej. Problem naprawiono w wersji 1.6.0.

Obraz boneIO black_debian_images nadaje kontu usługi boneio nadmierne uprawnienia, w tym pełny dostęp sudo bez hasła oraz członkostwo w grupie docker. Lokalny atakujący, który przejmie konto boneio, może wykorzystać te uprawnienia do eskalacji do roota. Problem naprawiono w wersji 1.6.0.