boneIOのblack_debian_imagesに権限昇格の脆弱性、1.6.0で修正
boneIO向けDebianイメージのサービス用アカウントに、パスワードなしのsudoとdockerグループ所属が付いており、rootへの権限昇格につながります。1.2.0以上1.6.0未満のイメージを使う機器が対象で、1.6.0への更新で解消します。稼働中の機器を洗い出し、計画を立てて更新してください。
急ぎ度: 早めに
CVSS v4は9.3で修正版（1.6.0）も出ていますが、悪用には先にboneioユーザーを手に入れる必要があり、実際の悪用を示す情報も見当たらないため、慌てずに早めの更新を勧めます。
関係があるか
boneIOの機器でblack_debian_imagesのイメージを使っている組織が対象です。boneioアカウントで動くサービスをネットワークに公開している環境や、複数人が機器にログインできる環境では、特に影響を受けやすくなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| boneIO black_debian_images | 1.2.0以上、1.6.0未満 | 1.6.0 |
確かめ方
- 1boneIOの機器ごとに、使っているイメージとboneioの版を確認し、1.2.0以上1.6.0未満に当たるかを調べます。
- 2機器にログインし、
id boneioでboneioアカウントの所属グループにdockerが入っていないかを見ます。dockerが入っていれば、未修正の状態です。 - 3版の確認方法の詳細は、ベンダーのドキュメント（https://boneio.eu/en/docs/black）で確認してください。
何が起きたか
boneIOの機器向けDebianイメージ（black_debian_images）では、サービス用のboneioアカウントに必要以上の権限が与えられていました。パスワードなしでsudoをすべて使えるうえ、dockerグループにも入っています。このため、boneioアカウントを手にした者がroot権限まで到達できる脆弱性です。分類はCWE-266（不適切な権限割り当て）で、重要度はcritical、CVSS v4は9.3です。
修正版の1.6.0では、イメージを封じる段階でsudoersの設定とdockerグループへの所属を取り除きます。すでに稼働している機器にも、更新後の初回起動時に、同梱の移行処理が走って両方を外します。
また、権限が必要な操作は、決まったコマンドだけを受け付ける補助プログラムを通す形に変わりました。移行処理はEd25519の署名で検証されます。
攻撃の流れ
-
1
アカウント侵害
何らかの方法で、機器上のboneioユーザーの権限を手に入れる。
-
2
sudoの利用
パスワードなしで使えるsudoで、管理者権限のコマンドを実行できる。
-
3
docker経由の操作
dockerグループの所属を使い、ホスト側の操作にも手が届く。
-
4
rootの掌握
機器全体のroot権限を得て、設定やデータを自由に扱える。
どう悪用されるか
悪用にはローカルでの実行権限が必要です。攻撃者は先にboneioユーザーとして機器上でコードやコマンドを動かせる状態になっていなければなりません。そこから先は、利用者の操作も追加の特別な条件も要りません。CVSS v4のベクターでも、ネットワーク経由ではなくローカル（AV:L）、低い権限が必要（PR:L）、利用者の操作は不要（UI:N）となっています。
悪用に成功すると、機器のrootを握られます。機密性・完全性・可用性のすべてに高い影響が出ると評価されており、機器の設定の書き換え、保存データの読み出し、サービスの停止が想定されます。評価は、その機器につながる他のシステムへの影響（SC・SI・SA）も高くなっています。
今すぐやること
-
1
対象機器を洗い出す
black_debian_imagesを使うboneIO機器を一覧にし、イメージの版が1.2.0以上1.6.0未満のものを特定します。検証用や予備の機器も含めます。
-
2
修正版に更新する
対象機器を1.6.0に更新します。権限の削除は更新後の初回起動時に自動で行われるため、更新後は一度起動し、処理が終わるまで電源を落とさないようにします。
-
3
権限が外れたことを確認する
更新後の機器にログインし、boneioアカウントの所属グループからdockerが消えていることを確認します。
id boneio -
4
更新前の侵害の痕跡を点検する
更新前の期間に、boneioアカウントで不審なログインや見覚えのない操作がなかったかをログで見ます。この脆弱性は、アカウントが侵害されたあとの被害を広げるものです。
すぐ更新できないとき
ベンダーが示した回避策は確認できていません。すぐに更新できない間は、機器を信頼できる管理用ネットワークに置いて外部からの到達を絞り、boneioアカウントの資格情報と、そのアカウントで動くサービスに触れられる人を最小限にしてください。これは被害を起こりにくくする措置で、脆弱性そのものは残ります。
背景
boneIOのサービス用アカウントは、機器の制御を担うプログラムが動くための専用ユーザーです。通常は、このアカウントが乗っ取られても被害がサービスの範囲にとどまるよう、権限を最小限にしておくのが基本です。しかし、このイメージではboneioに全面的なsudoが付いていたため、その前提が成り立ちませんでした。
さらに、dockerグループへの所属は、ホスト上でroot相当の操作ができるものとして広く知られています。この2つが同じアカウントに重なっていたことが、今回の脆弱性の核心です。修正版が権限を外すだけでなく、必要な操作を決まったコマンドだけ受け付ける補助プログラムに移したのも、権限を必要最小限に絞るためと読み取れます。
よくある質問
Q.更新後、boneioユーザーで直接dockerを使う運用はどうなりますか。
まだ分かっていないこと
- この脆弱性が実際の攻撃で悪用されたかどうかは分かっていません。悪用を示す情報が出ていないだけで、安全が確認されたわけではありません。
- 1.2.0より前の版が影響を受けるかどうかは、公表されていません。該当しそうな古い版を使っている場合は、ベンダーのドキュメントで確認してください。
- 参照されているCERT Polskaの告知のURLにはCVE-2026-77052とあり、本件の番号と異なります。関連の有無は分かりません。告知本文で確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| boneIO | black_debian_images |
1.2.0 以上 1.6.0 未満 |
1.6.0 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
boneIO black_debian_images gives the boneio service account excessive privileges, including full passwordless sudo access and membership in the docker group. A local attacker who compromises the boneio user can use these privileges to escalate to root.
This issue was fixed in version 1.6.0: the image removes the sudoers rule and the docker group membership when it is sealed, and devices already in the field have both removed by migrations shipped with boneio 1.6.0 and applied on first start after the upgrade. Privileged operations now go through helpers that accept only a fixed set of commands, with migrations verified against Ed25519 signatures.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cvd@cert.pl
- web cvd@cert.pl
- web nvd.nist.gov
- web github.com