boneIO Black: Fehlende Authentifizierung in der Management-Web-API
Zusammenfassung
boneIO-Black-Controller werden ab Werk ohne Authentifizierung ausgeliefert. Ihre Management-Web-API lauscht auf allen Netzwerkschnittstellen und akzeptiert Anfragen an alle Endpunkte ohne Zugangsdaten. Ein nicht authentifizierter Angreifer, der die API erreichen kann, zum Beispiel aus dem lokalen Netzwerk oder über eine weitergeleitete Portfreigabe, kann das Gerät vollständig steuern, einen Denial-of-Service auslösen, die Konfiguration ändern und angeschlossene Stromkreise wie Relais, Tore und Storen bedienen.
Betroffen
- boneIO-Black-Firmware 1.0.0 bis vor 1.6.0 (gemäss CNA-Eintrag)
- Geräte vor 1.2.0 basieren auf Debian 10 und werden nicht mehr unterstützt
- Standardkonfiguration: Der CNA-Eintrag enthält den Vermerk 'default: unaffected'; die genaue Bedeutung ist unklar und sollte beim Hersteller überprüft werden.
Behoben in
- Version 1.6.0: Ein Gerät ohne Administratorkonto lehnt API-Anfragen ab, bis im Ersteinrichtungsassistenten ein Administratorkonto erstellt wird; jede API-Route erfordert eine authentifizierte Rolle.
- Geräte vor 1.2.0 können nicht direkt aktualisiert werden und müssen mit dem Systemabbild 1.6.0 neu aufgespielt werden.
Umgehung
- Keine Workaround-Massnahme des Herstellers dokumentiert.
- Bis zur Behebung den Zugriff auf die Web- und API-Ports auf ein Management-VLAN oder vertrauenswürdige Administrationsgeräte beschränken und jede Portweiterleitung zum Gerät entfernen.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Betroffene boneIO-Black-Controller auf 1.6.0 oder neuer aktualisieren; Geräte vor 1.2.0 mit dem Systemabbild 1.6.0 neu aufspielen.
- Vor dem Update die Konfiguration (/home/boneio/boneio) sichern.
- Bis zur Behebung den Netzwerkzugriff auf das Gerät einschränken.
- Prüfen, ob jemals ein Administratorkonto erstellt wurde, und Protokolle auf Hinweise auf einen früheren Zugriff durchsehen.
- Wenn ein Gerät vor dem Patchen exponiert war, die MQTT- und Web-Panel-Passwörter erneuern.
- Ein Controller, der vor dem Update kompromittiert wurde, wird durch das Update nicht bereinigt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CERT Polska advisory cert.pl
- boneIO Black documentation boneio.eu
- boneIO app_black 1.6.0 release notes github.com
- CVE record text (CVE-2026-77053) cve.threatint.com
- Strix CVE-2026-77053 www.strix.ai
- OffSeq CVE-2026-77053 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:08.
Referenzen der NVD (2)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.