В откритата платформа за домашна автоматизация Home Assistant е открита критична уязвимост (CVE-2023-27482), която позволява да се заобиколи аутентификацията и да се получи пълен достъп до привилегирования API на Supervisor, чрез който могат да се променят настройки, да се инсталира/актуализира софтуер, да се управляват добавки и резервни копия.
Проблемът засяга инсталации, в които се използва компонентът Supervisor и се проявява от първите му версии (от 2017 г.). Например, уязвимостта е налична в среди на Home Assistant OS и Home Assistant Supervised, но не засяга Home Assistant Container (Docker) и ръчно създадени Python среди на базата на Home Assistant Core.
Уязвимостта е отстранена в версия Home Assistant Supervisor 2023.01.1. Допълнително, обходен вариант за защита е включен в версия Home Assistant 2023.3.0. В системи, на които не може да се инсталира актуализация за блокиране на уязвимостта, достъпът до мрежовия порт на уеб услугата Home Assistant от външни мрежи може да бъде ограничен.
Методът на експлоатация на уязвимостта не е детайлизиран (според оценките на разработчиците около 1/3 от потребителите са инсталирали актуализацията и много системи остават уязвими). В исправената версия, под формата на оптимизация, са направени промени в обработката на токени и проксируеми заявки, както и добавени филтри за блокиране на инжектиране на SQL заявки, вмъкване на тага "" и използване на пътища с "../" и "/./".
Източник: opennet.ru
