Уязвимости в устройствах F&F Filipowski mH-DEVELOPER
CVE ID
CVE-2026-82928
Дата публикации
28 сентября 2026
Поставщик
F&F Filipowski
Продукт
mH-DEVELOPER
Уязвимые версии
Все до 3.0.30
Тип уязвимости (CWE)
Включение недокументированных функций или "битов курицы" (CWE-1242)
Источник отчета
Отчет в CERT Polska
CVE ID
CVE-2026-82929
Дата публикации
28 сентября 2026
Поставщик
F&F Filipowski
Продукт
mH-DEVELOPER
Уязвимые версии
Все до 3.0.30
Тип уязвимости (CWE)
Использование жестко закодированного криптографического ключа (CWE-321)
Источник отчета
Отчет в CERT Polska
CVE ID
CVE-2026-82930
Дата публикации
28 сентября 2026
Поставщик
F&F Filipowski
Продукт
mH-DEVELOPER
Уязвимые версии
Все до 3.0.30
Тип уязвимости (CWE)
Отсутствие аутентификации для критической функции (CWE-306)
Источник отчета
Отчет в CERT Polska
CVE ID
CVE-2026-82932
Дата публикации
28 сентября 2026
Поставщик
F&F Filipowski
Продукт
mH-DEVELOPER
Уязвимые версии
Все до 3.0.30
Тип уязвимости (CWE)
Неправильное ограничение канала связи до целевых конечных точек (CWE-923)
Источник отчета
Отчет в CERT Polska
CVE ID
CVE-2026-82933
Дата публикации
28 сентября 2026
Поставщик
F&F Filipowski
Продукт
mH-DEVELOPER
Уязвимые версии
Все до 3.0.30
Тип уязвимости (CWE)
Зависимость от HTTP вместо HTTPS (CWE-1428)
Источник отчета
Отчет в CERT Polska
CVE ID
CVE-2026-82935
Дата публикации
28 сентября 2026
Поставщик
F&F Filipowski
Продукт
mH-DEVELOPER
Уязвимые версии
Все до 3.0.30
Тип уязвимости (CWE)
Использование неподдерживаемых компонентов третьих сторон (CWE-1104)
Источник отчета
Отчет в CERT Polska
CVE ID
CVE-2026-82936
Дата публикации
28 сентября 2026
Поставщик
F&F Filipowski
Продукт
mH-DEVELOPER
Уязвимые версии
Все до 3.0.30
Тип уязвимости (CWE)
Выделение ресурсов без ограничений или регулирования (CWE-770)
Источник отчета
Отчет в CERT Polska
Описание
Во время собственного исследования Кшиштоф Чудзик из CERT Polska обнаружил уязвимости в устройствах F&F Filipowski mH-DEVELOPER. Исследование проводилось с использованием GLM 5.2 LLM, результаты были вручную проверены и проконсультированы с поставщиком. Команда CERT.PL координировала раскрытие указанных уязвимостей.
Уязвимость CVE-2026-82928: модуль умного дома mH-DEVELOPER содержит жестко закодированный SSH публичный ключ в /root/.ssh/authorized_keys, который служит потенциальной "закладкой". SSH демон позволяет вход в систему под root через аутентификацию по ключу и запускается автоматически. Злоумышленник с соответствующим приватным ключом может получить root-оболочку на любом затронутом устройстве, что приводит к полному компромиссу системы. Ключ нельзя удалить без повторного монтирования файловой системы и он сохраняется после сброса к заводским настройкам. Поставщик отмечает, что эта функциональность использовалась только для сервисных целей.
Уязвимость CVE-2026-82929: модуль умного дома mH-DEVELOPER использует одни и те же жестко закодированные SSH хост-ключи на каждом устройстве, без генерации ключей для каждого устройства. Злоумышленник, который извлечет эти ключи из прошивки, может настроить поддельный SSH сервер, которому клиенты будут доверять без предупреждения, что позволяет осуществлять атаки "человек посередине" и перехватывать учетные данные.
Уязвимость CVE-2026-82930: модуль умного дома mH-DEVELOPER не проверяет токены в своем промежуточном ПО аутентификации, оставляя все HTTP API и WebSocket конечные точки доступными без аутентификации. Неаутентифицированный злоумышленник в локальной сети может запрашивать эти конечные точки, получать информацию о системе и отправлять сырые управляющие команды для манипуляции устройствами автоматизации зданий.
Уязвимость CVE-2026-82932: модуль умного дома mH-DEVELOPER не загружает никаких правил брандмауэра при запуске. Это оставляет все прослушивающие сервисы, включая SSH, HTTP, WebSocket и Node-RED, полностью открытыми в локальной сети без контроля доступа. Любой клиент в той же сети может получить доступ к каждому сервису.
Уязвимость CVE-2026-82933: модуль умного дома mH-DEVELOPER передает свой веб-интерфейс и трафик API по незашифрованному HTTP. Пароли, токены аутентификации и команды устройств передаются в открытом виде. Злоумышленник в той же сети может перехватить этот трафик, украсть учетные данные и токены, а также захватить сессии.
Уязвимость CVE-2026-82935: модуль умного дома mH-DEVELOPER поставляется с устаревшей, неподдерживаемой версией Debian 8 и средой выполнения Node.js v17.0.1 в своей производственной прошивке. Это подвергает устройство известным уязвимостям, для которых не будут выпущены обновления безопасности. Злоумышленник может использовать эти известные недостатки для выполнения произвольного кода, доступа к конфиденциальным данным или вызова отказа в обслуживании на устройстве.
Уязвимость CVE-2026-82936: модуль умного дома mH-DEVELOPER уязвим к отказу в обслуживании из-за неконтролируемого потребления ресурсов. Express bodyParser настроен с лимитом в 250 МБ для JSON и URL-кодированных тел запросов. Аутентифицированный злоумышленник в локальной сети может отправить большие тела запросов, которые исчерпывают буферы в ОЗУ, вызывая условия нехватки памяти и сбой процесса fh-node, что приводит к отказу в обслуживании. Успешная атака зависит от текущего использования памяти устройства, которое не находится под полным контролем злоумышленника. Критически важно, что из-за CVE-2026-82930 все конечные точки могут быть запрошены без аутентификации, поэтому любой пользователь в локальной сети может выполнить эту атаку.
Эти проблемы были исправлены в версии 3.0.30
Более подробную информацию о процессе координированного раскрытия уязвимостей в CERT Polska можно найти по адресу https://cert.pl/en/cvd/.