CVE-2026-82935
ŚrednieCVSS 6.9Streszczenie
Moduł smart home mH-DEVELOPER dostarczany jest z przestarzałym, niewspieranym systemem Debian 8 i środowiskiem Node.js v17.0.1 w firmware produkcyjnym. Naraża to urządzenie na publicznie znane podatności, które nie otrzymają poprawek bezpieczeństwa. Atakujący może wykorzystać te znane luki do wykonania dowolnego kodu, dostępu do danych wrażliwych lub wywołania odmowy usługi.
Ocena ryzyka
Brak wsparcia dla użytych komponentów oznacza, że znane podatności pozostaną niezałatane, co może prowadzić do przejęcia urządzenia, wycieku danych lub przerw w działaniu. Ryzyko jest wysokie ze względu na publiczną dostępność exploitów.
Rekomendacja
Należy zaktualizować oprogramowanie do wersji 3.0.30, w której podatne komponenty zostały zaktualizowane lub wzmocnione. Jeśli aktualizacja nie jest możliwa, zaleca się izolację urządzenia w sieci i ograniczenie dostępu.
Inne podatności w mH-DEVELOPER smart home module
Zobacz wszystkie- CVE-2026-82936Średnie
Moduł smart home mH-DEVELOPER jest podatny na atak Denial of Service z powodu niekontrolowanego zużycia zasobów. Express bodyParser jest skonfigurowany z limitem 250 MB dla ciał żądań JSON i URL-encoded, co pozwala uwierzytelnionemu atakującemu w sieci LAN wysyłać duże żądania wyczerpujące pamięć RAM i powodujące awarię procesu fh-node. Ze względu na CVE-2026-82930 wszystkie endpointy mogą być odpytywane bez uwierzytelnienia, więc każdy użytkownik LAN może przeprowadzić ten atak.
- CVE-2026-82933Średnie
Moduł smart home mH-DEVELOPER przesyła interfejs webowy i ruch API przez niezaszyfrowany HTTP. Hasła, tokeny uwierzytelniające i polecenia urządzenia są przesyłane jawnym tekstem. Atakujący w tej samej sieci może przechwycić ten ruch, ukraść poświadczenia i tokeny oraz przejąć sesje.
- CVE-2026-82932Średnie
Moduł smart home mH-DEVELOPER nie ładuje żadnych reguł zapory sieciowej przy starcie. Pozostawia to wszystkie nasłuchujące usługi, w tym SSH, HTTP, WebSocket i Node-RED, całkowicie wystawione w sieci LAN bez kontroli dostępu. Każdy klient w tej samej sieci może uzyskać dostęp do każdej usługi.
- CVE-2026-82930Średnie
Moduł smart home mH-DEVELOPER nie weryfikuje tokenów w oprogramowaniu pośredniczącym autoryzacji, pozostawiając wszystkie endpointy HTTP API i WebSocket dostępne bez uwierzytelnienia. Nieuwierzytelniony atakujący w sieci LAN może odpytywać te endpointy, uzyskiwać informacje o systemie i wysyłać surowe polecenia sterujące do manipulowania urządzeniami automatyki budynkowej.
- CVE-2026-82929Średnie
Moduł smart home mH-DEVELOPER używa tych samych, zakodowanych na stałe kluczy hosta SSH w każdym urządzeniu, bez generowania kluczy dla poszczególnych urządzeń. Atakujący, który wyodrębni te klucze z firmware, może skonfigurować fałszywy serwer SSH, któremu klienci zaufają bez ostrzeżenia, umożliwiając ataki man-in-the-middle i przechwytywanie poświadczeń.
- CVE-2026-82928Wysokie
Moduł inteligentnego domu mH-DEVELOPER zawiera zakodowany na stałe publiczny klucz SSH w /root/.ssh/authorized_keys, który może służyć jako backdoor. Demon SSH umożliwia logowanie roota przez uwierzytelnianie kluczem i uruchamia się automatycznie. Atakujący z pasującym kluczem prywatnym może uzyskać powłokę roota na każdym dotkniętym urządzeniu, co prowadzi do całkowitego przejęcia systemu. Klucz nie może zostać usunięty bez ponownego zamontowania systemu plików i przetrwa reset do ustawień fabrycznych. Producent zauważa, że funkcja ta była używana wyłącznie do celów serwisowych. Problem został naprawiony w wersji 3.0.30.
Oryginalny opis (angielski, źródło NVD)
mH-DEVELOPER smart home module ships with an end-of-life, unsupported Debian 8 and Node.js runtime v17.0.1 in its production firmware. This exposes the device to publicly known vulnerabilities that will not receive security patches. An attacker could exploit these known flaws to execute arbitrary code, access sensitive data, or cause a denial of service on the device. Vulnerable components were updated or hardened, if update was not possible in version 3.0.30
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS