boneIO Black: Fehlende Authentifizierung für Node-RED ermöglicht Remote Code Execution
Zusammenfassung
Der Heimautomatisierungs-Controller boneIO Black stellt eine Node-RED-Instanz unter dem Pfad /nodered/ über einen Caddy Reverse Proxy ohne Authentifizierung bereit. Ein Angreifer mit Zugang zum lokalen Netzwerk kann über die Node-RED Admin API einen schädlichen Flow bereitstellen und beliebige Systembefehle ausführen. Eine erfolgreiche Ausnutzung ermöglicht die vollständige Kontrolle über das Heimautomatisierungssystem.
Betroffen
- boneIO Black Versionen 1.3.0 bis vor 1.6.0
- Versionen vor 1.2.0 basieren auf Debian 10, werden nicht mehr unterstützt und können nicht direkt aktualisiert werden
Behoben in
- Behoben in Version 1.6.0
Umgehung
- Node-RED Admin API in der Settings-Datei einschränken oder deaktivieren, oder eine Firewall einsetzen, sodass nur vertrauenswürdige Hosts Flows bereitstellen können
- Controller von gemeinsam genutzten oder Gast-Netzwerksegmenten fernhalten und den Web-Port nicht ins Internet exponieren
- Standardmässige MQTT- und Web-Panel-Passwörter ändern
Ausnutzung
- Gemäss OffSeq nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird (laut Strix nicht im CISA KEV Katalog)
- In der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert
- VulDB führt den Status als 0-Day
Unsere Empfehlung
- Alle boneIO Black Controller auf Version 1.6.0 oder neuer aktualisieren
- Prüfen, ob der Controller aus unvertrauenswürdigen Netzwerken erreichbar ist, auch über die Caddy-Konfiguration, Portweiterleitungen oder Fernzugriffs-Tools
- MQTT- und Web-Panel-Passwörter nach dem Update ändern, da Geräte bestehende Zugangsdaten behalten
- Node-RED-Konfiguration überprüfen und auf unerwartete Flow-Bereitstellungen achten
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CERT Polska advisory CVE-2026-77052 cert.pl
- boneIO Black documentation boneio.eu
- OpenCVE CVE-2026-77052 app.opencve.io
- VulDB entry 426470 vuldb.com
- OffSeq patch and exploitation status radar.offseq.com
- Strix CVE-2026-77052 www.strix.ai
- Pre-release notes v1.6.0.dev35 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:07.
Referenzen der NVD (2)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.