Pięć luk w module automatyki budynku, w tym stały klucz SSH do konta root, bez poprawki

CERT Polska ujawnił pięć podatności w module smart home do automatyki budynku, a poprawki na razie nie ma. Najpoważniejsza to zakodowany na stałe publiczny klucz SSH konta root: posiadacz pasującego klucza prywatnego może zalogować się zdalnie, uzyskać powłokę root i przejąć pełną kontrolę nad systemem. Wszystkie luki zweryfikowano ręcznie i skonsultowano z producentem, a ujawnienie koordynował zespół CERT.PL.

Kogo dotyczy

Dotyczy firm i właścicieli budynków, którzy sterują urządzeniami automatyki przez ten moduł. Interfejs HTTP API i WebSocket nie sprawdza tokenów autoryzacji, więc każdy w tej samej sieci lokalnej może odczytać informacje o systemie i wysyłać polecenia sterujące. Urządzenie przy starcie nie ładuje żadnych reguł zapory, przez co SSH, HTTP, WebSocket i Node-RED są osiągalne w całej sieci LAN. Ruch panelu i API idzie bez szyfrowania, a stałe klucze hosta SSH zapisane w firmware pozwalają postawić fałszywy serwer, któremu klienci zaufają bez ostrzeżenia.