CERT Polska opisał 11 podatności w urządzeniach boneIO, poprawki są w wersji 1.6.0
- Rodzaj
- Streszczenie
- Data
- Kategoria
- Incydenty
- Redakcja
- Paweł Rosół
- Źródło
- CERT Polska ()
CERT Polska opublikował 26 października 2026 r. opis 11 podatności w produktach boneIO, od CVE-2026-77052 do CVE-2026-77062. Źródło wskazuje wersję 1.6.0 jako rozwiązującą opisane problemy.
CERT PolskaCERT Polska Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK. opublikował 26 października 2026 r. opis 11 podatnościPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. w produktach boneIO, od CVE-2026-77052 do CVE-2026-77062. Dotyczą sterownikaSterownik PLC Programmable Logic Controller: przemysłowy komputer, który według zapisanego programu bezpośrednio steruje pompą, zaworem albo silnikiem. boneIO Black oraz obrazów systemowych black_debian_images. Podatne wersje sięgają do 1.6.0, a początek zakresu zależy od podatności: od 1.0.0, 1.2.0 albo 1.3.0. Zgłosił je Mateusz Włodarczak z s3ga.
Najpoważniejsze są dwie. W CVE-2026-77052 instancja Node-RED jest dostępna bez uwierzytelnienia pod ścieżką /nodered/, co pozwala nieuwierzytelnionemu atakującemu z sieci lokalnej wykonać polecenia systemowe i przejąć kontrolę nad systemem. W CVE-2026-77053 firmware domyślnie nie wymaga uwierzytelnienia, a API zarządzania nasłuchuje na wszystkich interfejsach, więc atakujący może zmienić konfigurację i sterować podłączonymi obwodami fizycznymi.
Przez ten domyślny brak uwierzytelnienia pozostałe podatności są groźniejsze. Endpoint GET /api/config zwraca hasła w postaci jawnej (CVE-2026-77054), a podatność CSRFCSRF Atak, w którym zalogowany użytkownik, zwykle po kliknięciu podsuniętego linku, nieświadomie wykonuje w aplikacji internetowej akcję wybraną przez atakującego, z własnymi uprawnieniami. (CVE-2026-77058) i brak ochrony przed clickjackingiemClickjacking Atak polegający na osadzeniu panelu sterowania w elemencie iframe na złośliwej stronie i nakłonieniu użytkownika do kliknięcia przycisków. (CVE-2026-77062) pozwalają, by użytkownik sieci wewnętrznej samym wejściem na złośliwą stronę wywołał działania na urządzeniu, na przykład otwarcie bram czy przełączenie przekaźników. Opisano też podniesienie uprawnień do roota (CVE-2026-77055, CVE-2026-77059) oraz domyślne dane brokera MQTT (CVE-2026-77056).
Według CERT Polska wszystkie opisane problemy rozwiązuje wersja 1.6.0. Urządzenie bez konta administratora odrzuca w niej żądania API, dopóki właściciel nie utworzy takiego konta. Wersje starsze niż 1.2.0 bazują na Debianie 10, nie są wspierane i nie da się ich zaktualizować: na te urządzenia trzeba ponownie wgrać obraz systemowy w wersji 1.6.0. Jeśli używasz urządzeń boneIO, sprawdź wersję. Urządzenia zaktualizowane z wcześniejszych wersji zachowują dotychczasowe dane uwierzytelniające brokera MQTT, a panel WWW od wersji 1.6.0 zgłasza użycie wartości domyślnych, które należy zmienić.
Pojęcia w tym tekście (5)
- CERT Polska
- Zespół reagowania na incydenty prowadzony przez NASK, źródło ostrzeżeń i analiz, które cytuję w aktualnościach. Ustawa tej nazwy nie zna; ustawowym zespołem jest CSIRT NASK.
- Podatność
- Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- Sterownik PLC
- Programmable Logic Controller: przemysłowy komputer, który według zapisanego programu bezpośrednio steruje pompą, zaworem albo silnikiem.
- CSRF
- Atak, w którym zalogowany użytkownik, zwykle po kliknięciu podsuniętego linku, nieświadomie wykonuje w aplikacji internetowej akcję wybraną przez atakującego, z własnymi uprawnieniami.
- Clickjacking
- Atak polegający na osadzeniu panelu sterowania w elemencie iframe na złośliwej stronie i nakłonieniu użytkownika do kliknięcia przycisków.