V otevřené platformě pro domácí automatizaci Home Assistant byla zjištěna kritická zranitelnost (CVE-2023-27482), která umožňuje obejít autentizaci a získat plný přístup k privilegovanému API Supervisor, prostřednictvím kterého je možné měnit nastavení, instalovat/aktualizovat software, spravovat doplňky a zálohy.
Problém se týká instalací, které používají komponentu Supervisor, a objevuje se od prvních jeho vydání (od roku 2017). Například zranitelnost je přítomna v prostředích Home Assistant OS a Home Assistant Supervised, ale netýká se Home Assistant Container (Docker) a ručně vytvořených Python prostředí založených na Home Assistant Core.
Zranitelnost byla odstraněna ve verzi Home Assistant Supervisor 2023.01.1. Dále byl do vydání Home Assistant 2023.3.0 zahrnut obraný alternativní způsob ochrany. Na systémech, na kterých nelze aktualizaci k zablokování zranitelnosti nainstalovat, lze omezit přístup k síťovému portu webové služby Home Assistant z externích sítí.
Metoda exploatace zranitelnosti zatím není podrobněji popsána (podle odhadů vývojářů aktualizaci nainstalovalo asi 1/3 uživatelů a mnoho systémů zůstává zranitelných). Opravená verze obsahuje změny v zpracování tokenů a proxy požadavků pod záminkou optimalizace, a také byly přidány filtry pro blokování podvrhů SQL dotazů, vkládání tagu "" a používání cest s "..\/" a "\/.\
Zdroj: opennet.ru
