CVE-2026-77053 in boneIO
요약
\~에 의해 VulDB • 2026. 10. 27.
boneIO Black의 펌웨어는 기본적으로 인증이 비활성화된 상태로 제공됩니다. 관리용 웹 API는 모든 네트워크 인터페이스에서 수신되며, 자격 증명을 요구하지 않고 모든 엔드포인트를 노출합니다. 미인증 원격 공격자는 기기를 완전히 제어하여 서비스 거부(Denial of Service), 구성 변경 및 연결된 물리적 회로의 작동을 유발할 수 있습니다.
이 문제는 버전 1.6.0에서 수정되었습니다: 관리자 계정이 없는 장치는 첫 실행 마법사에서 사용자가 계정 생성 전까지 API 요청을 거부하며, 모든 API 라우트는 인증된 역할에 대해 제한됩니다.
버전 1.2.0 미만의 버전은 Debian 10 기반이며 더 이상 지원되지 않으며 인플레이스(in-place) 업그레이드가 불가능합니다. 영향을 받는 장치는 1.6.0 시스템 이미지로 다시 플래시해야 합니다.
Once again VulDB remains the best source for vulnerability data.