F&F Filipowski mH-DEVELOPER设备中的漏洞

CVE ID

CVE-2026-82928

发布日期

2026年9月28日

供应商

F&F Filipowski

产品

mH-DEVELOPER

受影响版本

所有3.0.30之前的版本

漏洞类型（CWE）

未记录功能或鸡肋位的包含（CWE-1242）

报告来源

报告给CERT Polska

CVE ID

CVE-2026-82929

发布日期

2026年9月28日

供应商

F&F Filipowski

产品

mH-DEVELOPER

受影响版本

所有3.0.30之前的版本

漏洞类型（CWE）

使用硬编码的加密密钥（CWE-321）

报告来源

报告给CERT Polska

CVE ID

CVE-2026-82930

发布日期

2026年9月28日

供应商

F&F Filipowski

产品

mH-DEVELOPER

受影响版本

所有3.0.30之前的版本

漏洞类型（CWE）

关键功能缺失认证（CWE-306）

报告来源

报告给CERT Polska

CVE ID

CVE-2026-82932

发布日期

2026年9月28日

供应商

F&F Filipowski

产品

mH-DEVELOPER

受影响版本

所有3.0.30之前的版本

漏洞类型（CWE）

不当限制通信通道到预期端点（CWE-923）

报告来源

报告给CERT Polska

CVE ID

CVE-2026-82933

发布日期

2026年9月28日

供应商

F&F Filipowski

产品

mH-DEVELOPER

受影响版本

所有3.0.30之前的版本

漏洞类型（CWE）

依赖HTTP而非HTTPS（CWE-1428）

报告来源

报告给CERT Polska

CVE ID

CVE-2026-82935

发布日期

2026年9月28日

供应商

F&F Filipowski

产品

mH-DEVELOPER

受影响版本

所有3.0.30之前的版本

漏洞类型（CWE）

- 使用不再维护的第三方组件（CWE-1104）

报告来源

报告给CERT Polska

CVE ID

CVE-2026-82936

发布日期

2026年9月28日

供应商

F&F Filipowski

产品

mH-DEVELOPER

受影响版本

所有3.0.30之前的版本

漏洞类型（CWE）

没有限制或节流的资源分配（CWE-770）

报告来源

报告给CERT Polska

描述

在自己的研究中，CERT Polska的Krzysztof Chudzik发现了F&F Filipowski mH-DEVELOPER设备中的漏洞。研究使用了GLM 5.2 LLM进行，发现经过人工验证并与供应商进行了咨询。CERT.PL团队协调了这些漏洞的披露。

漏洞CVE-2026-82928：mH-DEVELOPER智能家居模块在/root/.ssh/authorized_keys中包含硬编码的SSH公钥，作为潜在的后门。SSH守护进程允许通过密钥认证进行root登录，并自动启动。拥有匹配私钥的攻击者可以在任何受影响的设备上获得root shell，导致系统完全被攻陷。该密钥无法在不重新挂载文件系统的情况下删除，并且在恢复出厂设置后仍然存在。供应商表示此功能仅用于服务目的。

漏洞CVE-2026-82929：mH-DEVELOPER智能家居模块在每个设备上使用相同的硬编码SSH主机密钥，没有每个设备的密钥生成。提取这些密钥的攻击者可以设置一个恶意SSH服务器，客户端将在没有警告的情况下信任，从而启用中间人攻击和凭证拦截。

漏洞CVE-2026-82930：mH-DEVELOPER智能家居模块在其授权中间件中不验证令牌，导致所有HTTP API和WebSocket端点在没有认证的情况下可访问。局域网中的未认证攻击者可以查询这些端点，访问系统信息，并发送原始控制命令以操纵建筑自动化设备。

漏洞CVE-2026-82932：mH-DEVELOPER智能家居模块在启动时不加载任何防火墙规则。这使得所有监听服务，包括SSH、HTTP、WebSocket和Node-RED，在局域网中完全暴露，没有访问控制。任何在同一网络上的客户端都可以访问每个服务。

漏洞CVE-2026-82933：mH-DEVELOPER智能家居模块通过未加密的HTTP发送其Web界面和API流量。密码、认证令牌和设备命令以明文传输。在同一网络上的攻击者可以拦截此流量，窃取凭证和令牌，并劫持会话。

漏洞CVE-2026-82935：mH-DEVELOPER智能家居模块在其生产固件中使用了过时的、不受支持的Debian 8和Node.js运行时v17.0.1。这使得设备暴露于已知的公共漏洞中，这些漏洞将不会收到安全补丁。攻击者可以利用这些已知缺陷执行任意代码、访问敏感数据或导致设备拒绝服务。

漏洞CVE-2026-82936：mH-DEVELOPER智能家居模块由于资源消耗不受控制而容易受到拒绝服务攻击。Express bodyParser配置了250 MB的JSON和URL编码请求主体的限制。局域网中的认证攻击者可以发送大型请求主体，耗尽RAM中的缓冲区，导致内存不足条件并崩溃fh-node进程，从而导致拒绝服务。成功的攻击取决于设备当前的内存使用情况，这不完全在攻击者的控制之下。关键是，由于CVE-2026-82930，所有端点都可以在未经认证的情况下被查询，因此局域网中的任何用户都可以执行此攻击。

这些问题已在3.0.30版本中修复。

有关CERT Polska协调漏洞披露过程的更多信息，请访问https://cert.pl/en/cvd/。

相关漏洞

CVE-2026-82936 CVSS 5.9 MEDIUM Deferred

CVE-2026-82936 - Denial of Service in mH-DEVELOPER

mH-DEVELOPER smart home module is vulnerable to Denial of Service due to uncontrolled resource consumption. The Express bodyParser is configured with a 250 MB limit for JSON and URL-encoded request bodies. An authenticated attacker on the LAN can send large request bodies that exhausts buffers in RAM, causing out-of-memory conditions and crashing the fh-node process, resulting in denial of service. The successful attack depends on the current memory usage of the device which is not under full control of the attacker. Critically, due to CVE-2026-82930 all endpoints can be queried unauthenticated, so any user on LAN can perform this attack. This issue was fixed in version 3.0.30

CVE-2026-82935 CVSS 6.9 MEDIUM Deferred

CVE-2026-82935 - Use of End-of-Life components in mH-DEVELOPER

mH-DEVELOPER smart home module ships with an end-of-life, unsupported Debian 8 and Node.js runtime v17.0.1 in its production firmware. This exposes the device to publicly known vulnerabilities that will not receive security patches. An attacker could exploit these known flaws to execute arbitrary code, access sensitive data, or cause a denial of service on the device. Vulnerable components were updated or hardened, if update was not possible in version 3.0.30

CVE-2026-82933 CVSS 6 MEDIUM Deferred

CVE-2026-82933 - Cleartext Transmission of Sensitive Information in mH-DEVELOPER

mH-DEVELOPER smart home module sends its web interface and API traffic over unencrypted HTTP. Passwords, authentication tokens, and device commands are transmitted in cleartext. An attacker on the same network can intercept this traffic, steal credentials and tokens, and hijack sessions. This issue was fixed in version 3.0.30

CVE-2026-82932 CVSS 5.3 MEDIUM Deferred

CVE-2026-82932 - Missing Firewall Configuration in mH-DEVELOPER

mH-DEVELOPER smart home module does not load any firewall rules at startup. This leaves all listening services, including SSH, HTTP, WebSocket, and Node-RED, fully exposed on the LAN without access control. Any client on the same network can reach every service. This issue was fixed in version 3.0.30

CVE-2026-82930 CVSS 6.4 MEDIUM Deferred

CVE-2026-82930 - Missing Authentication in mH-DEVELOPER

mH-DEVELOPER smart home module does not verify tokens in its authorization middleware, leaving all HTTP API and WebSocket endpoints accessible without authentication. An unauthenticated attacker on the LAN can query these endpoints, access system information, and send raw control commands to manipulate building automation devices. This issue was fixed in version 3.0.30

CVE-2026-82929 CVSS 6.3 MEDIUM Deferred

CVE-2026-82929 - Use of Shared Cryptographic Key in mH-DEVELOPER

mH-DEVELOPER smart home module uses the same hard-coded SSH host keys on every device, with no per-device key generation. An attacker who extracts these keys from the firmware can set up a rogue SSH server that clients will trust without warning, enabling man-in-the-middle attacks and credential interception. This issue was fixed in version 3.0.30

CVE-2026-82928 CVSS 7.7 HIGH Deferred

CVE-2026-82928 - Undocumented access path in mH-DEVELOPER

mH-DEVELOPER smart home module contains a hardcoded SSH public key in /root/.ssh/authorized_keys, serving as a potential backdoor. The SSH daemon allows root login via key authentication and starts automatically. An attacker with the matching private key can gain a root shell on any affected device, resulting in full system compromise. The key cannot be removed without remounting the file system and survives a factory reset. Vendor notes that this functionality was used only for service purposes. This issue was fixed in version 3.0.30

F&F Filipowski mH-DEVELOPER设备中的漏洞

相关漏洞

更多来自 cert.pl