CVE-2026-77056 in black_debian_images
要約
〜によって VulDB • 2026年10月26日
boneIO black_debian_imagesには、すべてのデバイスで同じデフォルト認証情報を使用するMosquitto MQTTブローカーが同梱されています。これらの認証情報はGitHub上で公開されており、それらを変更するための指示は一切ありません。リモート攻撃者はこれらを使用してブローカーへの完全な読み書きアクセスを取得し、接続されたリレー、ブラインド、ゲートの制御や、リンク先のHome Assistantインストールに偽のエントリをインジェクトすることができます。
この問題はイメージのバージョン1.6.0で修正されました：MQTTパスワードは初回起動時にデバイスごとに生成されます。それ以前のバージョンからアップグレードされたデバイスは既存のブローカー認証情報を維持しますが、boneio 1.6.0以降ではWebパネルがまだ公開されているデフォルト値である認証情報を報告し、所有者がこれらを変更する必要があります。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.