boneIOの脆弱性で認証なしに機器を操作されるおそれ
Summary
boneIO Blackのファームウェアは、初期状態で認証が無効になっており、管理用のWeb APIがすべてのネットワークインターフェースで待ち受けています。認証なしの遠隔からの攻撃者が機器を完全に操作でき、サービス停止や設定の変更、接続された物理回路の操作につながるおそれがあります。1.6.0より前のboneIOが対象で、修正版は1.6.0です。1.2.0より前は直接アップグレードできないため、1.6.0のシステムイメージを書き込み直す必要があります。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
boneIO Blackのファームウェアは、初期状態で認証が無効になっており、管理用のWeb APIがすべてのネットワークインターフェースで待ち受けています。認証なしの遠隔からの攻撃者が機器を完全に操作でき、サービス停止や設定の変更、接続された物理回路の操作につながるおそれがあります。1.6.0より前のboneIOが対象で、修正版は1.6.0です。1.2.0より前は直接アップグレードできないため、1.6.0のシステムイメージを書き込み直す必要があります。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| boneIO | boneIO |
≥ 1.0.0, < 1.6.0 |
1.6.0 |
Original description The description as published by the source.
boneIO Black firmware ships with authentication disabled by default. Its management web API listens on all network interfaces and exposes all endpoints without requiring credentials. An unauthenticated remote attacker can fully control the device, causing denial of service, modifying configuration, and operating connected physical circuits.
This issue was fixed in version 1.6.0: a device without an administrator account refuses API requests until the owner creates one in the first-run wizard, and every API route is restricted to an authenticated role.
Versions before 1.2.0 are based on Debian 10, are no longer supported and cannot be upgraded in place; affected devices should be re-flashed with the 1.6.0 system image.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web cvd@cert.pl
- web cvd@cert.pl
- web nvd.nist.gov
- web github.com