boneIOの脆弱性、認証なしでNode-REDを操作されリモートでコードを実行される
Summary
boneIO Blackでは、Node-REDの管理APIが認証なしで/nodered/パスから利用できる状態になっており、同じローカルネットワーク上の攻撃者が悪意のあるフローを配備してシステムのコマンドを実行できます。影響を受けるのは1.3.0以上1.6.0未満のboneIOで、1.6.0で修正されています。ホーム自動化システムを丸ごと乗っ取られるおそれがあるため、早めに1.6.0へ更新してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
boneIO Blackでは、Node-REDの管理APIが認証なしで/nodered/パスから利用できる状態になっており、同じローカルネットワーク上の攻撃者が悪意のあるフローを配備してシステムのコマンドを実行できます。影響を受けるのは1.3.0以上1.6.0未満のboneIOで、1.6.0で修正されています。ホーム自動化システムを丸ごと乗っ取られるおそれがあるため、早めに1.6.0へ更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| boneIO | boneIO |
≥ 1.3.0, < 1.6.0 |
1.6.0 |
Original description The description as published by the source.
boneIO Black exposes a Node-RED instance without authentication at the /nodered/ path through a Caddy reverse proxy. The Node-RED Admin API allows deploying flows that can execute arbitrary system commands. An unauthenticated attacker on the local network can deploy a malicious flow to achieve remote code execution and gain full control over the home automation system.
This issue was fixed in version 1.6.0.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web cvd@cert.pl
- web cvd@cert.pl
- web nvd.nist.gov
- web github.com