Der åbne platform for hjemmeautomatisering Home Assistant har opdaget en kritisk sårbarhed (CVE-2023-27482), der muliggør omgåelse af autentificeringen og giver fuld adgang til det privilegerede API Supervisor, hvorigennem man kan ændre indstillinger, installere/opdatere software, administrere plugins og sikkerhedskopier.
Problemet berører installationer, der bruger komponenten Supervisor, og opstår fra de første udgivelser (siden 2017). For eksempel findes sårbarheden i Home Assistant OS og Home Assistant Supervised-miljøer, men påvirker ikke Home Assistant Container (Docker) og manuelt oprettede Python-miljøer baseret på Home Assistant Core.
Sårbarheden er blevet rettet i version 2023.01.1 af Home Assistant Supervisor. Derudover er en workaround inkluderet i udgivelsen af Home Assistant 2023.3.0. På systemer, hvor det ikke er muligt at installere opdateringen for at blokere sårbarheden, kan adgangen til netværksporten for Home Assistant-webtjenesten begrænses fra eksterne netværk.
Metoden til udnyttelse af sårbarheden er endnu ikke blevet detaljeret (ifølge udviklerne har omkring 1/3 af brugerne installeret opdateringen, og mange systemer forbliver sårbare). I den rettede version er der foretaget ændringer i håndteringen af tokens og proxied forespørgsler under dække af optimering, samt tilføjet filtre til at blokere indsprøjtning af SQL-forespørgsler, indsættelse af ""-tag og brug af stier med "..\/" og "\/./".
Kilde: opennet.ru
