骨IO產品多項安全漏洞曝光，已於1.6.0版修復

boneIO 產品的漏洞

描述

CERT Polska 已收到關於 boneIO 產品漏洞的報告，並參與協調其披露。

漏洞 CVE-2026-77052：boneIO Black 在 /nodered/ 路徑透過 Caddy 反向代理，未經身份驗證即暴露 Node-RED 例項。Node-RED 管理 API 允許部署可執行任意系統指令的流程。未經身份驗證的本地網路攻擊者可部署惡意流程以實現遠端程式碼執行，並取得家庭自動化系統的完整控制權。

此問題已於 1.6.0 版修復。

漏洞 CVE-2026-77053：boneIO Black 韌體預設啟用身份驗證為關閉。其管理網頁 API 監聽所有網路介面，且所有端點均不要求憑證即可存取。未經身份驗證的遠端攻擊者可完全控制裝置，造成服務中斷、修改設定，並操控連線的實體電路。

此問題已於 1.6.0 版修復：未設定管理員帳號的裝置會拒絕 API 請求，直至使用者在首次執行嚮導中建立帳號；且所有 API 路由均限制為已驗證的角色。

1.2.0 版以前的版本基於 Debian 10，已停止支援且無法直接升級；受影響的裝置應重新刷寫 1.6.0 系統映像。

漏洞 CVE-2026-77054：boneIO Black 將密碼（包括 MQTT 代理與網頁面板密碼）以明文儲存。GET /api/config 端點回傳完整設定，且子服務密碼被暴露。任何已驗證使用者均可呼叫此端點，並以明文取得管理密碼。

關鍵點是，由於 CVE-2026-77053（預設關閉身份驗證），同一區域網內未經身份驗證的攻擊者可取得所有密碼。

此問題已於 1.6.0 版修復：網頁面板密碼以帶鹽 scrypt 雜湊值儲存於僅供服務帳號可讀的檔案中，API 與紀錄亦不再回傳機密值。MQTT 代理密碼仍須可恢復，因應用程式以客戶端身分呈現給代理；其存於另一個僅供服務帳號可讀的檔案，且不再透過 API 暴露。

漏洞 CVE-2026-77055：boneIO black_debian_images 給予 boneio 服務帳號過度許可權，包括完整的免密碼 sudo 訪問權與 docker 群組成員資格。當地攻擊者若取得 boneio 使用者的許可權，可利用此許可權升級為 root.

此問題已於 1.6.0 版修復：影像在封存時會移除 sudoers 規則與 docker 群組成員資格，已部署的裝置亦透過隨 boneio 1.6.0 釋出的遷移程式於升級後首次啟動時移除。特權操作現在僅透過接受固定指令集的輔助程式執行，遷移程式亦以 Ed25519 簽章驗證。

漏洞 CVE-2026-77056：boneIO black_debian_images 附帶 Mosquitto MQTT 代理，所有裝置使用相同預設憑證。這些憑證已在 GitHub 上公開說明，說明中亦未指示更改。遠端攻擊者可利用它們取得代理的完整讀寫存取，進而控制連線的繼電器、百葉窗、閘門，並注入偽造實體到連結的 Home Assistant 安裝。

此問題已於影像 1.6.0 版修復：MQTT 密碼於首次開機時為每臺裝置自動產生。從舊版升級的裝置保留原有代理憑證；自 boneio 1.6.0 起，網頁面板會顯示仍為預設公開的憑證，使用者必須自行更改。

漏洞 CVE-2026-77057：boneIO Black 在其網頁介面（POST /api/login）及 SSH 服務上未限制驗證嘗試，也未強制密碼複雜度。未授權的遠端攻擊者可進行無限次暴力登入，可能取得使用者帳號並未授權存取裝置。

此問題已於 1.6.0 版修復：網頁登入嘗試以來源位址與帳號為單位速率限制，面板密碼須至少 8 個字元，SSH 每連線允許三次驗證嘗試，並縮短登入寬限時間。

漏洞 CVE-2026-77058：boneIO Black 在所有改變狀態的 API 端點上易受跨站請求偽造（CSRF）攻擊，因其缺少 CSRF 令牌且未驗證 Origin 或 Referer 標頭。遠端攻擊者可編寫惡意網頁，當內部網路使用者瀏覽時，會向裝置傳送跨域請求。這使攻擊者能重啟控制器、切換繼電器電路、控制閘門與百葉窗，或關閉裝置，造成完整性與可用性損失。

關鍵在於 CVE-2026-77053（預設關閉驗證），同一內部網路的任何使用者皆可透過瀏覽惡意網站觸發攻擊者控制的操作。

此問題已於 1.6.0 版修復。

漏洞 CVE-2026-77059：boneIO Black 在 boneio/webui/routes/timezone_sudoers.py 中的 create_timedatectl_sudoers_file() 函式存在 TOCTOU 競爭條件。該函式將 sudoers 規則寫入可預測的暫存檔，驗證後以 root 許可權安裝。本機攻擊者可利用驗證與安裝之間的競爭視窗替換惡意內容，或利用可預測檔名進行符號連結攻擊，導致任意 sudoers 規則注入與本地許可權提升至 root。

此問題已於 1.6.0 版修復。

漏洞 CVE-2026-77060：boneIO black_debian_images 將 Mosquitto MQTT 代理密碼檔存放於 /etc/mosquitto/passwd，並設為全域可讀。任何本機使用者皆可讀取所有 MQTT 帳號的密碼雜湊，並進行離線字典攻擊。

此問題已於 1.6.0 版修復。

漏洞 CVE-2026-77061：boneIO Black 直接將多個 API 端點排除在身份驗證之外。未經身份驗證的遠端攻擊者在本地網路上可以檢索系統日誌、韌體版本、序號、MQTT 使用者名稱、設定檔清單以及 API 檔案。這些資料有助於偵測並可針對裝置進行定向攻擊。

此問題已於 1.6.0 版修復：所有 API 路徑皆需具備身份驗證角色，互動式 API 檔案已停用，且序號已對匿名呼叫者隱藏。

漏洞 CVE-2026-77062：boneIO Black 網頁介面缺乏適當的 clickjacking 防護。遠端攻擊者可將控制面板嵌入惡意網頁中的 iframe，並誘使內部網路上已認證的使用者點選按鈕，從而啟動繼電器、開啟大門或控制百葉窗。這可能導致未授權的狀態變更，並帶來潛在的實體安全風險。

關鍵的是，因為 CVE-2026-77053（預設關閉身份驗證），同一內部網路上的任何使用者都可透過瀏覽惡意網站觸發攻擊者控制的動作。

此問題已於 1.6.0 版修復。

致謝

我們感謝 Mateusz Włodarczak (s3ga) 提供負責任的漏洞報告。

更多關於 CERT Polska 協調漏洞披露流程的資訊，可在 https://cert.pl/en/cvd/ 找到。