Podatności mH-DEVELOPER smart home module

Moduł smart home mH-DEVELOPER jest podatny na atak Denial of Service z powodu niekontrolowanego zużycia zasobów. Express bodyParser jest skonfigurowany z limitem 250 MB dla ciał żądań JSON i URL-encoded, co pozwala uwierzytelnionemu atakującemu w sieci LAN wysyłać duże żądania wyczerpujące pamięć RAM i powodujące awarię procesu fh-node. Ze względu na CVE-2026-82930 wszystkie endpointy mogą być odpytywane bez uwierzytelnienia, więc każdy użytkownik LAN może przeprowadzić ten atak.

Moduł smart home mH-DEVELOPER dostarczany jest z przestarzałym, niewspieranym systemem Debian 8 i środowiskiem Node.js v17.0.1 w firmware produkcyjnym. Naraża to urządzenie na publicznie znane podatności, które nie otrzymają poprawek bezpieczeństwa. Atakujący może wykorzystać te znane luki do wykonania dowolnego kodu, dostępu do danych wrażliwych lub wywołania odmowy usługi.

Moduł smart home mH-DEVELOPER przesyła interfejs webowy i ruch API przez niezaszyfrowany HTTP. Hasła, tokeny uwierzytelniające i polecenia urządzenia są przesyłane jawnym tekstem. Atakujący w tej samej sieci może przechwycić ten ruch, ukraść poświadczenia i tokeny oraz przejąć sesje.

Moduł smart home mH-DEVELOPER nie ładuje żadnych reguł zapory sieciowej przy starcie. Pozostawia to wszystkie nasłuchujące usługi, w tym SSH, HTTP, WebSocket i Node-RED, całkowicie wystawione w sieci LAN bez kontroli dostępu. Każdy klient w tej samej sieci może uzyskać dostęp do każdej usługi.

Moduł smart home mH-DEVELOPER nie weryfikuje tokenów w oprogramowaniu pośredniczącym autoryzacji, pozostawiając wszystkie endpointy HTTP API i WebSocket dostępne bez uwierzytelnienia. Nieuwierzytelniony atakujący w sieci LAN może odpytywać te endpointy, uzyskiwać informacje o systemie i wysyłać surowe polecenia sterujące do manipulowania urządzeniami automatyki budynkowej.

Moduł smart home mH-DEVELOPER używa tych samych, zakodowanych na stałe kluczy hosta SSH w każdym urządzeniu, bez generowania kluczy dla poszczególnych urządzeń. Atakujący, który wyodrębni te klucze z firmware, może skonfigurować fałszywy serwer SSH, któremu klienci zaufają bez ostrzeżenia, umożliwiając ataki man-in-the-middle i przechwytywanie poświadczeń.

Moduł inteligentnego domu mH-DEVELOPER zawiera zakodowany na stałe publiczny klucz SSH w /root/.ssh/authorized_keys, który może służyć jako backdoor. Demon SSH umożliwia logowanie roota przez uwierzytelnianie kluczem i uruchamia się automatycznie. Atakujący z pasującym kluczem prywatnym może uzyskać powłokę roota na każdym dotkniętym urządzeniu, co prowadzi do całkowitego przejęcia systemu. Klucz nie może zostać usunięty bez ponownego zamontowania systemu plików i przetrwa reset do ustawień fabrycznych. Producent zauważa, że funkcja ta była używana wyłącznie do celów serwisowych. Problem został naprawiony w wersji 3.0.30.