- Yama var
- Son 7 gün
- CWE-1392
CVE-2026-77056
boneIO Black Debian Imajlarında Varsayılan Kimlik Bilgileri Kullanımı
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- CERT-PL
ÖzetTürkçe
boneIO black_debian_images, tüm cihazlarda aynı varsayılan kimlik bilgilerini kullanan bir Mosquitto MQTT aracısı ile birlikte gelmektedir. Bu kimlik bilgileri github üzerinde herkese açık olarak belgelenmiştir ve kurulum talimatlarında bunları değiştirmeye yönelik bir uyarı bulunmamaktadır. Uzaktan bir saldırgan bu bilgileri kullanarak aracıya tam okuma ve yazma erişimi elde edebilir; bu da bağlı röleler, panjurlar ve kapıların kontrolüne ve bağlantılı bir Home Assistant kurulumuna sahte varlıklar enjekte edilmesine olanak tanır.
Bu sorun imajın 1.6.0 sürümünde giderilmiştir: MQTT parolaları ilk açılışta cihaz başına üretilmektedir. Önceki sürümlerden yükseltilen cihazlar mevcut aracı kimlik bilgilerini korur; boneio 1.6.0 sürümünden itibaren web paneli, hâlâ yayımlanmış varsayılan değerler olan kimlik bilgilerini bildirir ve bunların cihaz sahibi tarafından değiştirilmesi gerekir.
Kaynaktaki açıklama (İngilizce)
boneIO black_debian_images ships with a Mosquitto MQTT broker that uses the same default credentials on all devices. These credentials are publicly documented on github, and there is no indication in the instructions to change them. A remote attacker can use them to gain full read and write access to the broker, allowing control of connected relays, blinds, and gates, and injection of fake entities into a linked Home Assistant installation.
This issue was fixed in version 1.6.0 of the image: MQTT passwords are generated per device at first boot. Devices upgraded from earlier versions keep their existing broker credentials; from boneio 1.6.0 the web panel reports credentials that are still the published defaults, and the owner has to change them.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| boneIO Black Debian Images | ≥ 1.2.0, < 1.6.0 | 1.6.0 |
Kaynaklar4 kaynak
- CVE.org kaydı
- NVD kaydı
- cert.pl/en/posts/2026/10/CVE-2026-77052 Üçüncü taraf
- boneio.eu/en/docs/black Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.