Отдалечено експлоатирана уязвимост в платформата Home Assistant

В откритата платформа за домашна автоматизация Home Assistant е установена критична уязвимост (CVE-2023-27482), която позволява заобикаляне на аутентификацията и получаване на пълен достъп до привилегирования API Supervisor, чрез който могат да се променят настройки, инсталират/обновяват софтуер, управляват добавки и резервни копия.

Проблемът засяга инсталации, в които се използва компонентът Supervisor и се появява от първите му версии (от 2017 година). Например, уязвимостта присъства в средите Home Assistant OS и Home Assistant Supervised, но не засяга Home Assistant Container (Docker) и ръчно създадени Python-среда на базата на Home Assistant Core.

Уязвимостта е отстранена в версия Home Assistant Supervisor 2023.01.1. Допълнително, обходен вариант за защита е включен в състава на изданието Home Assistant 2023.3.0. На системи, на които не може да се инсталира обновление за блокиране на уязвимостта, може да се ограничи достъпът до мрежовия порт на веб-сервиза Home Assistant от външни мрежи.

Методът за експлоатация на уязвимостта засега не е детализиран (по оценка на разработчиците около 1/3 от потребителите са инсталирали обновление и много системи остават уязвими). В коригираната версия под формата на оптимизация са направени промени в обработката на токени и проксируеми заявки, както и добавени филтри за блокиране на подмяна на SQL-заявки, вмъкване на таг „“ и използване на пътища с „../“ и „/./“.

Източник: opennet.ru