CERT Polska: luki w boneIO pozwalają przejąć sterownik automatyki domowej

CERT Polska opublikował 26 października informacje o lukach w produktach boneIO. Jedna z nich pozwala napastnikowi z sieci lokalnej wykonywać polecenia bez logowania i przejąć system automatyki domowej. Producent usunął opisane problemy w wersji 1.6.0.

Co ujawniono

CVE-2026-77052 dotyczy udostępnionej bez uwierzytelnienia usługi Node-RED. Jej interfejs pozwala wdrażać sekwencje działań wykonujące polecenia systemowe. Kolejna luka, CVE-2026-77053, wiąże się z domyślnie wyłączonym uwierzytelnianiem w interfejsie zarządzania.

Wśród ujawnionych problemów są również ujawnianie haseł przez API oraz nadmierne uprawnienia konta usługi. Połączenie słabości może ułatwić przejęcie urządzenia i sterowanie podłączonymi obwodami. Nie należy utożsamiać dostępu z sieci lokalnej z możliwością zaatakowania każdego sterownika bezpośrednio z internetu.

Kogo dotyczy zagrożenie

Sprawdzenia wymagają instalacje boneIO Black oraz używane obrazy systemowe black_debian_images. Szczególną uwagę powinny zwrócić osoby odpowiedzialne za sieci, w których automatyka współdzieli dostęp z komputerami użytkowników lub urządzeniami gości.

CERT Polska podaje, że wydania starsze niż 1.2.0 bazują na niewspieranym Debianie 10 i wymagają ponownego wgrania obrazu 1.6.0. Aktualizacja istniejącej instalacji może też zachować wcześniejsze dane dostępowe brokera MQTT, dlatego trzeba je osobno sprawdzić.

Co zrobić teraz

• Ustal model urządzenia, wersję oprogramowania i sposób instalacji systemu.
• Wdróż wersję 1.6.0 zgodnie z instrukcją producenta; wcześniej zabezpiecz konfigurację i przygotuj przywrócenie działania automatyki.
• Zmień domyślne dane dostępowe MQTT oraz hasła, które mogły być ujawnione przez interfejs konfiguracji.
• Ogranicz dostęp do panelu, SSH i Node-RED do wydzielonej sieci administracyjnej.
• Po aktualizacji sprawdź konta administratorów oraz poprawność działania bram, rolet i pozostałych sterowanych obwodów.

Komentarz SecurHUB

Sterownik automatyki warto objąć tym samym nadzorem nad aktualizacjami i dostępem co pozostałe urządzenia sieciowe. Audyt bezpieczeństwa może pomóc ustalić, kto rzeczywiście ma dostęp do paneli zarządzania i jak ograniczyć skutki przejęcia pojedynczego urządzenia.

Źródła: CERT Polska, Vuln Scoop