🇰🇷 한글 설명
boneIO black_debian_images에 포함된 Mosquitto MQTT 브로커가 모든 장치에 동일한 기본 자격증명을 사용합니다. 이 자격증명은 GitHub에 공개되어 있고 설치 지침에서도 변경을 안내하지 않습니다. 원격 공격자는 이를 이용해 브로커에 대한 전체 읽기/쓰기 권한을 얻고, 연결된 릴레이·블라인드·게이트를 제어하며 연동된 Home Assistant에 가짜 엔티티를 주입할 수 있습니다. 1.6.0 버전에서 장치별 MQTT 비밀번호를 첫 부팅 시 생성하도록 수정되었으나, 이전 버전에서 업그레이드된 장치는 기존 기본 자격증명을 유지하므로 소유자가 직접 변경해야 합니다.
💡 쉬운 설명
누구나 알 수 있는 기본 비밀번호로 스마트홈 장치의 메시지 시스템에 접속할 수 있습니다. 이 경우 공격자가 조명, 문, 게이트 같은 장치를 원격으로 조작할 수 있습니다.
🇺🇸 원문 (English)
boneIO black_debian_images ships with a Mosquitto MQTT broker that uses the same default credentials on all devices. These credentials are publicly documented on github, and there is no indication in the instructions to change them. A remote attacker can use them to gain full read and write access to the broker, allowing control of connected relays, blinds, and gates, and injection of fake entities into a linked Home Assistant installation.
This issue was fixed in version 1.6.0 of the image: MQTT passwords are generated per device at first boot. Devices upgraded from earlier versions keep their existing broker credentials; from boneio 1.6.0 the web panel reports credentials that are still the published defaults, and the owner has to change them.
📍 영향받는 시스템
boneIO black_debian_images 1.6.0 이전 버전 (업그레이드된 장치 포함)
⚔️ 공격 벡터
GitHub에 공개된 기본 MQTT 자격증명으로 원격 접속하여 릴레이·블라인드·게이트 제어 및 Home Assistant에 가짜 엔티티 주입
🛡️ 대응 방법
boneIO 1.6.0 이상으로 업그레이드한 뒤 웹 패널에서 보고되는 기본 자격증명을 즉시 변경
🔧 검증 코드
출력에 공개된 기본 비밀번호(예: 문서화된 기본값)가 그대로 보이거나 익명(anonymous) 접속이 허용되어 있으면 취약하며, 비밀번호가 장치별로 새로 설정되어 있으면 조치가 완료된 것입니다.
grep -rEi 'password|passwd' /etc/mosquitto/ 2>/dev/null | head -20