হোম অ্যাসিস্ট্যান্ট প্ল্যাটফর্মে দূরবর্তীভাবে শোষিত দুর্বলতা

ওপেন হোম অটোমেশন প্ল্যাটফর্ম হোম অ্যাসিস্ট্যান্ট-এ একটি জটিল দুর্বলতা (CVE-2023-27482) চিহ্নিত করা হয়েছে, যা আপনাকে প্রমাণীকরণ বাইপাস করতে এবং বিশেষ সুবিধাপ্রাপ্ত সুপারভাইজার API-এ সম্পূর্ণ অ্যাক্সেস পেতে দেয়, যার মাধ্যমে আপনি সেটিংস পরিবর্তন করতে, সফ্টওয়্যার ইনস্টল/আপডেট করতে পারেন, অ্যাড-অন এবং ব্যাকআপ পরিচালনা করুন।

সমস্যাটি এমন ইনস্টলেশনকে প্রভাবিত করে যা সুপারভাইজার উপাদান ব্যবহার করে এবং এটির প্রথম প্রকাশের পর থেকে (2017 সাল থেকে) উপস্থিত হয়েছে। উদাহরণস্বরূপ, হোম অ্যাসিস্ট্যান্ট ওএস এবং হোম অ্যাসিস্ট্যান্ট তত্ত্বাবধানে থাকা পরিবেশে দুর্বলতা উপস্থিত থাকে, কিন্তু হোম অ্যাসিস্ট্যান্ট কন্টেইনার (ডকার) এবং হোম অ্যাসিস্ট্যান্ট কোরের উপর ভিত্তি করে ম্যানুয়ালি তৈরি পাইথন পরিবেশকে প্রভাবিত করে না।

হোম অ্যাসিস্ট্যান্ট সুপারভাইজার সংস্করণ 2023.01.1-এ দুর্বলতা সংশোধন করা হয়েছে। হোম অ্যাসিস্ট্যান্ট 2023.3.0 রিলিজে একটি অতিরিক্ত সমাধান অন্তর্ভুক্ত করা হয়েছে। যেসব সিস্টেমে দুর্বলতা অবরুদ্ধ করার জন্য আপডেট ইনস্টল করা সম্ভব নয়, আপনি বহিরাগত নেটওয়ার্ক থেকে হোম অ্যাসিস্ট্যান্ট ওয়েব পরিষেবার নেটওয়ার্ক পোর্টে অ্যাক্সেস সীমাবদ্ধ করতে পারেন।

দুর্বলতাকে কাজে লাগানোর পদ্ধতিটি এখনও বিশদভাবে বলা হয়নি (ডেভেলপারদের মতে, প্রায় 1/3 ব্যবহারকারী আপডেটটি ইনস্টল করেছেন এবং অনেক সিস্টেম দুর্বল থেকে গেছে)। সংশোধিত সংস্করণে, অপ্টিমাইজেশানের আড়ালে, টোকেন এবং প্রক্সিড প্রশ্নগুলির প্রক্রিয়াকরণে পরিবর্তন করা হয়েছে এবং এসকিউএল কোয়েরির প্রতিস্থাপন এবং "এর সন্নিবেশকে ব্লক করতে ফিল্টার যুক্ত করা হয়েছে। » и использования путей с «../» и «/./».

উত্স: opennet.ru