W urządzeniach boneIO Black zidentyfikowano szereg krytycznych luk bezpieczeństwa, które mogą prowadzić do pełnego przejęcia kontroli nad systemem automatyki domowej. Najpoważniejsze problemy dotyczą braku domyślnego uwierzytelnienia w API oraz udostępniania instancji Node-RED bez zabezpieczeń, co pozwala atakującym z sieci lokalnej na zdalne wykonanie kodu.
Analiza wykazała również błędy w zarządzaniu poświadczeniami, takie jak przechowywanie haseł w formie jawnej oraz stosowanie tych samych domyślnych danych logowania do brokera MQTT na wszystkich urządzeniach. Dodatkowo wykryto podatności typu CSRF, clickjacking oraz błędy typu race condition (TOCTOU), które umożliwiają podniesienie uprawnień do poziomu root.
Skutki tych podatności są bardzo poważne i obejmują możliwość sterowania fizycznymi elementami instalacji, takimi jak bramy, rolety czy przekaźniki. Atakujący mogą również wywołać odmowę usługi lub zmodyfikować konfigurację systemu.
Producent wydał poprawki w wersji 1.6.0, która wprowadza obowiązkowe uwierzytelnianie, unikalne hasła MQTT oraz mechanizmy ochrony przed atakami brute-force i CSRF. Użytkownicy starszych wersji, bazujących na nieobsługiwanym Debianie 10, muszą wgrać nowy obraz systemowy.
