bezpieczeństwoblackesphome

Bezpieczeństwo boneIO: CVE dla boneIO Black i nowy firmware boneIO ESP

Co opublikował CERT Polska, co naprawiliśmy w boneIO Black 1.6 i co zmienia się w firmware boneIO ESP.

• Pawel
Back
boneIO Black: 11 podatności opublikowanych przez CERT PolskaboneIO ESP: aktualizacje z Home Assistant i bezpieczniejszy firmwareGdy znajdziesz podatność

Cześć! Tym razem o bezpieczeństwie, i to obu linii naraz: boneIO Black i boneIO ESP. Oba sterowniki dostosowujemy do wymagań unijnego Aktu o cyberodporności (CRA) — rozporządzenia, które od tego roku nakłada na producentów obowiązki m.in. w obsłudze podatności i aktualizacjach. Poniżej co się wydarzyło, co zmieniliśmy i co warto zrobić na swoim sterowniku.

boneIO Black: 11 podatności opublikowanych przez CERT Polska

26 października CERT Polska opublikował 11 podatności (CVE-2026-77052 – CVE-2026-77062) znalezionych w niezależnym przeglądzie bezpieczeństwa boneIO Black 1.5.0. Zgłosił je Mateusz Włodarczak (s3ga) — dziękujemy! Ujawnienie było koordynowane: wszystkie podatności naprawiliśmy w wersji 1.6.0, zanim zostały opublikowane.

Czego dotyczyły, w skrócie:

  • panel i jego API domyślnie nie wymagały logowania, Node-RED był dostępny bez logowania;
  • API zwracało zapisane hasła, a logowanie nie miało limitu prób;
  • inna strona internetowa mogła wysyłać polecenia do sterownika (CSRF) albo osadzić panel w ramce (clickjacking);
  • w obrazie systemu: zbyt szerokie uprawnienia konta usługi, to samo domyślne hasło brokera MQTT na każdym sterowniku i plik haseł MQTT czytelny dla wszystkich kont.

W serii 1.6 panel działa tylko z kontem administratora zakładanym przy pierwszym uruchomieniu, ma role i limity prób logowania, nie zwraca haseł, odrzuca żądania z obcych stron, a uprzywilejowane operacje przechodzą przez zamknięty zestaw narzędzi i podpisane migracje. Nowe sterowniki nie mają żadnych wspólnych haseł.

Co zrobić:

  1. Zaktualizuj sterownik do najnowszej wersji 1.6.x (z 1.5 — najpierw do 1.5.6).
  2. Jeśli sterownik był aktualizowany, a nie wgrany od nowa, zmień hasło brokera MQTT — panel pokaże to w Ustawienia → Dostęp → Bezpieczeństwo.
  3. Zmień hasło SSH, jeśli nadal jest fabryczne.
  4. Sterowniki starsze niż 1.2.0 (Debian 10) wymagają wgrania nowego obrazu systemu.

Wszystkie szczegóły i lista podatności: Biuletyny bezpieczeństwa boneIO Black.

boneIO ESP: aktualizacje z Home Assistant i bezpieczniejszy firmware

Najnowszy firmware boneIO ESP zmienia sposób, w jaki sterowniki dostają poprawki, i zamyka kilka miejsc, które dotąd były otwarte.

  • Aktualizacje prosto z Home Assistant. Sterownik ma encję Firmware — gdy wydamy nową wersję, zainstalujesz ją jednym kliknięciem. Bez ESPHome Builder i bez kabla.
  • Szyfrowane połączenie z Home Assistant. Przy pierwszym połączeniu Home Assistant ustawia na sterowniku własny, unikalny klucz. Od tej chwili nikt w sieci nie podsłucha połączenia ani nie przełączy przez nie wyjść.
  • Bez strony urządzenia domyślnie. Strona WWW sterownika nie ma hasła, więc firmware fabryczny jest bez niej. Kto jej potrzebuje, wybierze w instalatorze opcję + web panel.
  • Bez wgrywania firmware'u przez przeglądarkę.
  • Dimmer gen2: tryb pracy z poziomu Home Assistant. Przełączysz go między 8 kanałami, 2× RGBW i 4× CCT — Home Assistant pokaże to jako aktualizację do zainstalowania.

Uczciwie o tym, czego firmware fabryczny nie zamyka: wgrywanie firmware'u przez sieć (OTA ESPHome) jest bez hasła — tak wymaga ESPHome, bo przez nie wgrywasz własną konfigurację po adopcji. Trzymaj sterownik w zaufanej sieci, a jeśli chcesz zamknąć i to, adoptuj go w ESPHome Builder i włącz szyfrowanie OTA.

Co zrobić: sterowniki, które już masz, dostaną nowe funkcje po jednorazowym wgraniu firmware'u przez boneio.eu/esp (kabel USB). Przy instalacji zgódź się na wymazanie urządzenia, a potem dodaj sterownik do Home Assistant. Kolejne wersje przyjdą już przez encję Firmware. Modele wycofane ze sprzedaży (24x16, Dimmer v0.3) dalej dostają firmware.

Sterowniki adoptowane w ESPHome Builder tego kanału nie mają — aktualizujesz je sam, kompilując konfigurację. Jak je zabezpieczyć: Bezpieczeństwo boneIO ESP.

Gdy znajdziesz podatność

Napisz na security@boneio.eu z SECURITY w temacie, użyj prywatnego zgłoszenia na GitHubie albo przekaż zgłoszenie przez CERT Polska. Potwierdzamy odbiór w ciągu 5 dni roboczych. Zasady opisują polityki bezpieczeństwa boneIO Black i boneIO ESP — w przypadku ESP błędy samego ESPHome (projekt Open Home Foundation) przekazujemy jego twórcom.