CVE-2026-77056
Açıklama
boneIO black_debian_images, tüm cihazlarda aynı varsayılan kimlik bilgilerini kullanan bir Mosquitto MQTT broker ile birlikte gelir. Bu kimlik bilgileri github üzerinde herkese açık olarak belgelenmiştir ve talimatlarda bunları değiştirmeye yönelik herhangi bir yönlendirme bulunmamaktadır. Uzaktaki bir saldırgan, broker'a tam okuma ve yazma erişimi sağlamak için bu bilgileri kullanabilir; bu da bağlı rölelerin, panjurların ve kapıların kontrol edilmesine ve bağlantılı bir Home Assistant kurulumuna sahte varlıklar enjekte edilmesine olanak tanır. Bu sorun imajın 1.6.0 versiyonunda düzeltilmiştir: MQTT parolaları ilk önyükleme sırasında her cihaz için ayrı olarak oluşturulur. Önceki versiyonlardan yükseltilen cihazlar mevcut broker kimlik bilgilerini korur; boneio 1.6.0'dan itibaren web paneli hala yayınlanan varsayılan değerlerde olan kimlik bilgilerini rapor eder ve sahibinin bunları değiştirmesi gerekir.
Nasıl düzeltilir
- boneIO black_debian_images1.6.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| boneIO black_debian_images | 1.2.0 ≤ v < 1.6.0 | 1.6.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.