CERT Polska opublikował 26 października opis 11 podatności w produktach boneIO, używanych do sterowania automatyką. Poprawki wymagają uwagi właściciela urządzenia i osoby utrzymującej sieć. Sam numer nowej wersji nie odpowie na pytanie, kto może sterować podłączonymi obwodami.

Wyobraź sobie szafkę z przyciskami do bramy i rolet. Drzwiczki mają zamek, ale obok zostawiono drugi zestaw przycisków dostępny dla każdego, kto wejdzie do pomieszczenia. Ta analogia opisuje problem granicy dostępu, a nie konkretny incydent u klienta boneIO. Właściciel budynku może znać panel użytkownika, instalator okablowanie, a informatyk adres urządzenia. Każdy widzi część tej samej instalacji. Gdy pojawia się komunikat o podatności, potrzebna jest wspólna odpowiedź, kto sprawdzi oprogramowanie i kto potwierdzi działanie urządzeń po zmianie. Bez takiego ustalenia łatwo przyjąć, że automatyka należy do obowiązków kogoś innego. Łatwo też zaktualizować sterownik i zamknąć zgłoszenie bez sprawdzenia jego ustawień.

Node-RED i API dawały dostęp do sterowania

Według CERT Polska CVE-2026-77052 dotyczy udostępnienia Node-RED bez uwierzytelnienia. Osoba z dostępem do sieci lokalnej mogła wdrożyć przepływ wykonujący polecenia systemowe. CVE-2026-77053 dotyczy domyślnie wyłączonego uwierzytelniania API zarządzania, przez które można było zmieniać konfigurację i sterować obwodami. Zespół wskazuje wersję 1.6.0 jako naprawiającą opisane problemy.

To daje konkretny punkt wyjścia do przeglądu instalacji boneIO. Proponujemy najpierw ustalić, jakie urządzenia rzeczywiście są podłączone do danego sterownika i z jakiej części sieci można się z nim połączyć. Określenie „sieć lokalna” powinno prowadzić do sprawdzenia konfiguracji, a nie do automatycznego uznania ryzyka za pomijalne. Osoba zatwierdzająca zmianę potrzebuje odpowiedzi dotyczącej własnego budynku. Nie uzyska jej z samej nazwy produktu ani z ogólnego zapewnienia instalatora, że urządzenie nie ma publicznego adresu.

Właściciel automatyki powinien znać osoby i urządzenia, które mogą wydawać jej polecenia.

Z komunikatu o 11 podatnościach nie wynika liczba zaatakowanych instalacji. Nie mamy podstaw, aby opisywać masowe przejmowanie polskich budynków. Rozpoznana słabość wystarcza jednak do otwarcia zadania naprawczego. Potwierdzenie incydentu jest inną pracą, z innymi dowodami i innym kryterium zakończenia.

Aktualizacja zachowuje część wcześniejszych ustawień

CERT Polska zwraca uwagę, że wcześniejsze dane brokera MQTT mogą przetrwać aktualizację; wartości domyślne wymagają zmiany. Urządzenia z oprogramowaniem starszym niż 1.2.0 wymagają ponownego wgrania obrazu systemu. Dlatego zlecenie „zaktualizować boneIO” powinno zawierać wersję wyjściową i uzgodniony sposób wykonania pracy.

W opisie wydania 1.6.0 producent zaleca wcześniejsze przejście na 1.5.6, kopię konfiguracji i dostęp fizyczny do sterownika. Przewiduje do godziny na aktualizację z migracjami. Wyjaśnia też, że urządzenie aktualizowane z wersji 1.5.x zachowuje ustawienie dotyczące HTTP, a aktualizacja nie usuwa skutków wcześniejszego przejęcia. To instrukcja przygotowania zmiany, którą wykonawca powinien przeczytać przed wyznaczeniem terminu.

W naszej ocenie odbiór prac nad boneIO powinien obejmować dwie krótkie notatki. Pierwsza potwierdza wersję i zakończenie migracji. Druga opisuje sprawdzone ustawienia dostępu oraz wynik próby działania podłączonych urządzeń. Taki podział ogranicza pokusę zastąpienia całego odbioru zdjęciem ekranu z numerem wersji. Pozwala również uczciwie zapisać, czego wykonawca jeszcze nie sprawdził i kto ma to zrobić.

Nie proponujemy eksperymentów z bramą podczas normalnego ruchu ani wykonywania prób ataku na działającej instalacji. Kontrolę uprawnień i sprawdzenie działania urządzeń można zaplanować z właścicielem obiektu. Jeżeli wersja wyjściowa wymaga innej ścieżki naprawy, wykonawca powinien ustalić ją przed rozpoczęciem przerwy, zamiast dopiero po utracie połączenia ze sterownikiem.

Koszt zmiany obejmuje także dostęp do budynku

Producent boneIO uprzedza o możliwej potrzebie fizycznego dostępu do urządzenia. Dla zarządcy obiektu to zadanie organizacyjne. Proponujemy przed pracami potwierdzić, kto ma klucz do szafy, kto zna instalację i w jakim czasie może przyjechać. Umowa na zdalne utrzymanie nie daje sama w sobie odpowiedzi na te pytania.

Decyzję o terminie powinien podjąć właściciel usługi razem z wykonawcą. Zespół IT może ocenić dostęp sieciowy, ale potrzebuje informacji o skutkach przerwy dla użytkowników budynku. Zalecamy zapisać akceptowalny czas niedostępności i sposób postępowania, jeśli sterowanie nie wróci. To propozycja organizacji prac, a nie twierdzenie, że opisane podatności doprowadziły już do konkretnej awarii.

Naprawa sterownika kończy się potwierdzeniem dostępu i działania instalacji, nie samym pobraniem oprogramowania.

W raporcie dla zarządcy wystarczy oddzielić wykonane czynności od otwartych pytań. Jeżeli ktoś podejrzewa wcześniejsze przejęcie boneIO, powinien zachować dostępne informacje i skierować sprawę do osoby prowadzącej analizę incydentu. Przypisanie takiego zadania nie oznacza automatycznie potwierdzenia włamania. Pomaga uniknąć deklaracji pewności, której sam przebieg aktualizacji nie uzasadnia.

Polski odbiorca potrzebuje kontaktu do instalatora i administratora

Komunikat CERT Polska z 26 października może trafić do informatyka, choć dokumentację boneIO przechowuje osoba odpowiedzialna za budynek. Proponujemy wykorzystać ten komunikat do sprawdzenia obiegu zgłoszeń. Odbiorca ostrzeżenia powinien wiedzieć, komu przekazać nazwę produktu i numer wersji, bez rozsyłania haseł czy pełnej konfiguracji.

Dla firmy korzystającej z zewnętrznego instalatora przydatne będzie jedno zgłoszenie z potwierdzeniem przyjęcia. Powinno wskazywać sterownik, osobę zatwierdzającą przerwę i oczekiwany wynik. Nie zakładajmy, że każda polska organizacja używa boneIO albo że każdy instalator monitoruje ten sam kanał ostrzeżeń. Najpierw potwierdźmy obecność produktu we własnym obiekcie, potem zakres odpowiedzialności. To mniejsza praca niż tworzenie kolejnej ogólnej procedury, a prowadzi do konkretnej decyzji.

Co z tym zrobić w poniedziałek

  1. W 20 minut ustal, czy używacie boneIO. Poproś zarządcę lub instalatora o wersję oprogramowania jednego sterownika i opis podłączonych urządzeń. Zapisz właściciela dalszych działań.
  2. W 30 minut przygotuj zmianę. Porównaj wersję z instrukcją producenta, ustal kopię konfiguracji, dostęp fizyczny i termin prac. Nie obiecuj wykonania godzinnej migracji w tym czasie.
  3. W 20 minut uzgodnij odbiór. Wskaż osobę sprawdzającą ustawienia dostępu i osobę potwierdzającą działanie instalacji. Dodaj kontrolę zachowanych danych MQTT do listy wykonawcy.

Automatyka boneIO wymaga tak samo konkretnego właściciela jak firmowy serwer. Ostrzeżenie CERT Polska powinno zakończyć się zapisem wykonanej zmiany i sprawdzonych ustawień. Sama informacja, że instalacja nadal działa, nie zamyka zadania bezpieczeństwa.

Źródła

Redakcja cyberinsight.pl.