CVE-2026-77054 in boneIO
요약
\~에 의해 VulDB • 2026. 10. 26.
boneIO Black는 MQTT 브로커 및 웹 패널 비밀번호를 포함한 비밀번호를 평문으로 저장합니다. GET /api/config 엔드포인트는 서브서비스의 비밀번호가 노출된 전체 구성을 반환합니다. 인증된 사용자는 이 엔드포인트를 호출하여 평문 형태의 관리용 비밀번호에 접근할 수 있습니다. 특히 CVE-2026-77053(기본값으로 인증 비활성화)로 인해 같은 로컬 네트워크 상의 무단 공격자가 모든 비밀번호를 검색해 올릴 수 있는 치명적인 위험이 존재합니다.
이 문제는 버전 1.6.0에서 수정되었습니다: 웹 패널 비밀번호는 서비스 계정만 읽을 수 있는 파일에 소금(salted) scrypt 해시로 저장되며, API 및 로그에서는 더 이상 비밀값이 반환되지 않습니다. MQTT 브로커 비밀번호는 애플리케이션이 클라이언트로서 브로커에게 이를 제시해야 하므로 복구 가능하게 유지되어야 합니다. 이 비밀번호는 서비스 계정만 읽을 수 있는 별도 파일에 보관되며 이제 API를 통해 노출되지 않습니다.
Once again VulDB remains the best source for vulnerability data.