CVE-2026-82933
ŚrednieCVSS 6.0Streszczenie
Moduł smart home mH-DEVELOPER przesyła interfejs webowy i ruch API przez niezaszyfrowany HTTP. Hasła, tokeny uwierzytelniające i polecenia urządzenia są przesyłane jawnym tekstem. Atakujący w tej samej sieci może przechwycić ten ruch, ukraść poświadczenia i tokeny oraz przejąć sesje.
Ocena ryzyka
Przechwycenie nieszyfrowanego ruchu może prowadzić do kradzieży danych logowania i przejęcia kontroli nad urządzeniem. Ryzyko jest szczególnie wysokie w sieciach LAN, do których dostęp mają niepowołane osoby.
Rekomendacja
Należy zaktualizować oprogramowanie do wersji 3.0.30, która naprawia tę podatność. Zaleca się również wdrożenie HTTPS i unikanie przesyłania danych uwierzytelniających przez HTTP.
Inne podatności w mH-DEVELOPER smart home module
Zobacz wszystkie- CVE-2026-82936Średnie
Moduł smart home mH-DEVELOPER jest podatny na atak Denial of Service z powodu niekontrolowanego zużycia zasobów. Express bodyParser jest skonfigurowany z limitem 250 MB dla ciał żądań JSON i URL-encoded, co pozwala uwierzytelnionemu atakującemu w sieci LAN wysyłać duże żądania wyczerpujące pamięć RAM i powodujące awarię procesu fh-node. Ze względu na CVE-2026-82930 wszystkie endpointy mogą być odpytywane bez uwierzytelnienia, więc każdy użytkownik LAN może przeprowadzić ten atak.
- CVE-2026-82935Średnie
Moduł smart home mH-DEVELOPER dostarczany jest z przestarzałym, niewspieranym systemem Debian 8 i środowiskiem Node.js v17.0.1 w firmware produkcyjnym. Naraża to urządzenie na publicznie znane podatności, które nie otrzymają poprawek bezpieczeństwa. Atakujący może wykorzystać te znane luki do wykonania dowolnego kodu, dostępu do danych wrażliwych lub wywołania odmowy usługi.
- CVE-2026-82932Średnie
Moduł smart home mH-DEVELOPER nie ładuje żadnych reguł zapory sieciowej przy starcie. Pozostawia to wszystkie nasłuchujące usługi, w tym SSH, HTTP, WebSocket i Node-RED, całkowicie wystawione w sieci LAN bez kontroli dostępu. Każdy klient w tej samej sieci może uzyskać dostęp do każdej usługi.
- CVE-2026-82930Średnie
Moduł smart home mH-DEVELOPER nie weryfikuje tokenów w oprogramowaniu pośredniczącym autoryzacji, pozostawiając wszystkie endpointy HTTP API i WebSocket dostępne bez uwierzytelnienia. Nieuwierzytelniony atakujący w sieci LAN może odpytywać te endpointy, uzyskiwać informacje o systemie i wysyłać surowe polecenia sterujące do manipulowania urządzeniami automatyki budynkowej.
- CVE-2026-82929Średnie
Moduł smart home mH-DEVELOPER używa tych samych, zakodowanych na stałe kluczy hosta SSH w każdym urządzeniu, bez generowania kluczy dla poszczególnych urządzeń. Atakujący, który wyodrębni te klucze z firmware, może skonfigurować fałszywy serwer SSH, któremu klienci zaufają bez ostrzeżenia, umożliwiając ataki man-in-the-middle i przechwytywanie poświadczeń.
- CVE-2026-82928Wysokie
Moduł inteligentnego domu mH-DEVELOPER zawiera zakodowany na stałe publiczny klucz SSH w /root/.ssh/authorized_keys, który może służyć jako backdoor. Demon SSH umożliwia logowanie roota przez uwierzytelnianie kluczem i uruchamia się automatycznie. Atakujący z pasującym kluczem prywatnym może uzyskać powłokę roota na każdym dotkniętym urządzeniu, co prowadzi do całkowitego przejęcia systemu. Klucz nie może zostać usunięty bez ponownego zamontowania systemu plików i przetrwa reset do ustawień fabrycznych. Producent zauważa, że funkcja ta była używana wyłącznie do celów serwisowych. Problem został naprawiony w wersji 3.0.30.
Oryginalny opis (angielski, źródło NVD)
mH-DEVELOPER smart home module sends its web interface and API traffic over unencrypted HTTP. Passwords, authentication tokens, and device commands are transmitted in cleartext. An attacker on the same network can intercept this traffic, steal credentials and tokens, and hijack sessions. This issue was fixed in version 3.0.30
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS