CVE-2026-82930
ŚrednieCVSS 6.4Streszczenie
Moduł smart home mH-DEVELOPER nie weryfikuje tokenów w oprogramowaniu pośredniczącym autoryzacji, pozostawiając wszystkie endpointy HTTP API i WebSocket dostępne bez uwierzytelnienia. Nieuwierzytelniony atakujący w sieci LAN może odpytywać te endpointy, uzyskiwać informacje o systemie i wysyłać surowe polecenia sterujące do manipulowania urządzeniami automatyki budynkowej.
Ocena ryzyka
Brak uwierzytelnienia pozwala każdemu w sieci LAN na dostęp do API i sterowanie urządzeniami, co może prowadzić do nieautoryzowanych zmian w automatyce budynkowej. Ryzyko jest krytyczne, ponieważ atak nie wymaga poświadczeń.
Rekomendacja
Należy zaktualizować oprogramowanie do wersji 3.0.30, która naprawia tę podatność. Zaleca się również wdrożenie poprawnej weryfikacji tokenów i ograniczenie dostępu do API tylko do zaufanych sieci.
Inne podatności w mH-DEVELOPER smart home module
Zobacz wszystkie- CVE-2026-82936Średnie
Moduł smart home mH-DEVELOPER jest podatny na atak Denial of Service z powodu niekontrolowanego zużycia zasobów. Express bodyParser jest skonfigurowany z limitem 250 MB dla ciał żądań JSON i URL-encoded, co pozwala uwierzytelnionemu atakującemu w sieci LAN wysyłać duże żądania wyczerpujące pamięć RAM i powodujące awarię procesu fh-node. Ze względu na CVE-2026-82930 wszystkie endpointy mogą być odpytywane bez uwierzytelnienia, więc każdy użytkownik LAN może przeprowadzić ten atak.
- CVE-2026-82935Średnie
Moduł smart home mH-DEVELOPER dostarczany jest z przestarzałym, niewspieranym systemem Debian 8 i środowiskiem Node.js v17.0.1 w firmware produkcyjnym. Naraża to urządzenie na publicznie znane podatności, które nie otrzymają poprawek bezpieczeństwa. Atakujący może wykorzystać te znane luki do wykonania dowolnego kodu, dostępu do danych wrażliwych lub wywołania odmowy usługi.
- CVE-2026-82933Średnie
Moduł smart home mH-DEVELOPER przesyła interfejs webowy i ruch API przez niezaszyfrowany HTTP. Hasła, tokeny uwierzytelniające i polecenia urządzenia są przesyłane jawnym tekstem. Atakujący w tej samej sieci może przechwycić ten ruch, ukraść poświadczenia i tokeny oraz przejąć sesje.
- CVE-2026-82932Średnie
Moduł smart home mH-DEVELOPER nie ładuje żadnych reguł zapory sieciowej przy starcie. Pozostawia to wszystkie nasłuchujące usługi, w tym SSH, HTTP, WebSocket i Node-RED, całkowicie wystawione w sieci LAN bez kontroli dostępu. Każdy klient w tej samej sieci może uzyskać dostęp do każdej usługi.
- CVE-2026-82929Średnie
Moduł smart home mH-DEVELOPER używa tych samych, zakodowanych na stałe kluczy hosta SSH w każdym urządzeniu, bez generowania kluczy dla poszczególnych urządzeń. Atakujący, który wyodrębni te klucze z firmware, może skonfigurować fałszywy serwer SSH, któremu klienci zaufają bez ostrzeżenia, umożliwiając ataki man-in-the-middle i przechwytywanie poświadczeń.
- CVE-2026-82928Wysokie
Moduł inteligentnego domu mH-DEVELOPER zawiera zakodowany na stałe publiczny klucz SSH w /root/.ssh/authorized_keys, który może służyć jako backdoor. Demon SSH umożliwia logowanie roota przez uwierzytelnianie kluczem i uruchamia się automatycznie. Atakujący z pasującym kluczem prywatnym może uzyskać powłokę roota na każdym dotkniętym urządzeniu, co prowadzi do całkowitego przejęcia systemu. Klucz nie może zostać usunięty bez ponownego zamontowania systemu plików i przetrwa reset do ustawień fabrycznych. Producent zauważa, że funkcja ta była używana wyłącznie do celów serwisowych. Problem został naprawiony w wersji 3.0.30.
Oryginalny opis (angielski, źródło NVD)
mH-DEVELOPER smart home module does not verify tokens in its authorization middleware, leaving all HTTP API and WebSocket endpoints accessible without authentication. An unauthenticated attacker on the LAN can query these endpoints, access system information, and send raw control commands to manipulate building automation devices. This issue was fixed in version 3.0.30
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS