Biuletyny bezpieczeństwa
Opublikowane podatności boneIO Black, czego dotyczą i co zrobić na swoim sterowniku
Tu publikujemy każdą podatność boneIO Black, która dostała numer CVE: której wersji dotyczy, w której ją naprawiono i czy poza aktualizacją trzeba coś zrobić samodzielnie. Najnowsze na górze.
Obsługa zgłoszeń i publikowanie naprawionych podatności to część dostosowania boneIO Black do wymagań unijnego Aktu o cyberodporności (CRA). Zasady opisuje polityka bezpieczeństwa.
Październik 2026 — przegląd wersji 1.5.0 (CERT Polska)
Niezależny przegląd bezpieczeństwa boneIO Black 1.5.0 ujawniliśmy wspólnie z CERT Polska 26 października 2026: komunikat CERT Polska. Wszystkie podatności są naprawione w 1.6.0. Za zgłoszenie dziękujemy Mateuszowi Włodarczakowi (s3ga).
Co zrobić
- Zaktualizuj aplikację do najnowszej 1.6.x. Z 1.5 najpierw do 1.5.6, potem według listy kontrolnej.
- Utwórz konto administratora w kreatorze, który pojawi się po aktualizacji. Do tego czasu sterownik odrzuca żądania API.
- Zmień hasło brokera MQTT, jeśli sterownik był zaktualizowany, a nie wgrany od nowa. Aktualizacja celowo nie zmienia go sama, żeby nie zerwać połączenia z Home Assistant. Panel pokazuje to w Ustawienia → Dostęp → Bezpieczeństwo, a Napraw prowadzi do zmiany. Nowe hasło wpisz potem w Home Assistant.
- Zmień hasło SSH, jeśli nadal jest fabryczne — Hasło logowania SSH.
- Sterowniki z wersją starszą niż 1.2.0 (Debian 10) nie dają się zaktualizować. Wgraj na nie obraz systemu 1.6 — aktualizacja do Debiana 13.
Lista podatności
| CVE | Czego dotyczyła | Wersje podatne | Poza aktualizacją |
|---|---|---|---|
| CVE-2026-77052 | Node-RED pod /nodered/ bez logowania — wdrożenie sekwencji z poleceniami systemowymi | 1.3.0 – przed 1.6.0 | — |
| CVE-2026-77053 | API panelu domyślnie bez uwierzytelnienia | 1.0.0 – przed 1.6.0 | utworzyć konto administratora |
| CVE-2026-77054 | GET /api/config zwracał hasła (MQTT, panel) | 1.2.0 – przed 1.6.0 | zmienić hasło MQTT |
| CVE-2026-77055 | Konto boneio z sudo bez hasła i w grupie docker (obraz systemu) | 1.2.0 – przed 1.6.0 | — |
| CVE-2026-77056 | To samo, opublikowane hasło brokera MQTT na każdym urządzeniu (obraz systemu) | 1.2.0 – przed 1.6.0 | zmienić hasło MQTT |
| CVE-2026-77057 | Brak limitu prób logowania w panelu i SSH, brak minimalnej długości hasła | 1.2.0 – przed 1.6.0 | — |
| CVE-2026-77058 | CSRF — obca strona mogła wysyłać polecenia do sterownika | 1.2.0 – przed 1.6.0 | — |
| CVE-2026-77059 | Wyścig przy instalowaniu reguły sudoers dla strefy czasowej | 1.3.0 – przed 1.6.0 | — |
| CVE-2026-77060 | Plik haseł Mosquitto czytelny dla wszystkich kont lokalnych (obraz systemu) | 1.2.0 – przed 1.6.0 | — |
| CVE-2026-77061 | Część endpointów API dostępna bez logowania (logi, numer seryjny, lista plików) | 1.2.0 – przed 1.6.0 | — |
| CVE-2026-77062 | Clickjacking — panel można było osadzić w ramce na obcej stronie | 1.2.0 – przed 1.6.0 | — |
Poprawki dotyczące obrazu systemu (77055, 77056, 77060) trafiają na zaktualizowany sterownik przez podpisane migracje systemu — poza hasłem MQTT, które trzeba zmienić samodzielnie. Co dokładnie zmieniło się w 1.6.0: informacje o wydaniu.
Jak zgłosić podatność
Prosimy nie zakładać publicznego zgłoszenia. Użyj
prywatnego zgłoszenia na GitHubie
albo napisz na security@boneio.eu z SECURITY w temacie. Potwierdzamy
odbiór w ciągu 5 dni roboczych. Zgłoszenie można też przekazać przez
CERT Polska.