高 8.7

boneIOの脆弱性で認証なしに機器を操作されるおそれ

CVE-2026-77053 SecPulse初出 10月26日 23:45

概要

boneIO Blackのファームウェアは、初期状態で認証が無効になっており、管理用のWeb APIがすべてのネットワークインターフェースで待ち受けています。認証なしの遠隔からの攻撃者が機器を完全に操作でき、サービス停止や設定の変更、接続された物理回路の操作につながるおそれがあります。1.6.0より前のboneIOが対象で、修正版は1.6.0です。1.2.0より前は直接アップグレードできないため、1.6.0のシステムイメージを書き込み直す必要があります。

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
boneIO	boneIO	1.0.0 以上 1.6.0 未満	1.6.0

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

boneIO Black firmware ships with authentication disabled by default. Its management web API listens on all network interfaces and exposes all endpoints without requiring credentials. An unauthenticated remote attacker can fully control the device, causing denial of service, modifying configuration, and operating connected physical circuits.
This issue was fixed in version 1.6.0: a device without an administrator account refuses API requests until the owner creates one in the first-run wizard, and every API route is restricted to an authenticated role.

Versions before 1.2.0 are based on Debian 10, are no longer supported and cannot be upgraded in place; affected devices should be re-flashed with the 1.6.0 system image.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory