{"id":107226,"date":"2023-03-11T06:48:11","date_gmt":"2023-03-11T04:48:11","guid":{"rendered":"https:\/\/prohoster.info\/?p=107226"},"modified":"2023-03-13T12:06:31","modified_gmt":"2023-03-13T10:06:31","slug":"udalyonno-ekspluatiruemaya-uyazvimost-v-platforme-home-assistant","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/udalyonno-ekspluatiruemaya-uyazvimost-v-platforme-home-assistant","title":{"rendered":"Vulnerabilidad explotable de forma remota en la plataforma Home Assistant","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se ha descubierto una vulnerabilidad cr\u00edtica (CVE-2023-27482) en la plataforma de automatizaci\u00f3n del hogar Home Assistant, que permite eludir la autenticaci\u00f3n y obtener acceso total a la API privilegiada del Supervisor, a trav\u00e9s de la cual se pueden alterar configuraciones, instalar\/actualizar software, gestionar complementos y realizar copias de seguridad. <\/p>\n
El problema afecta a las instalaciones que utilizan el componente Supervisor y ocurre desde sus primeras versiones (desde 2017). Por ejemplo, la vulnerabilidad est\u00e1 presente en los entornos Home Assistant OS y Home Assistant Supervised, pero no afecta a Home Assistant Container (Docker) ni a los entornos de Python creados manualmente basados en Home Assistant Core. <\/p>\n
La vulnerabilidad fue corregida en la versi\u00f3n Home Assistant Supervisor 2023.01.1. Adem\u00e1s, una soluci\u00f3n alternativa de protecci\u00f3n se incluy\u00f3 en el lanzamiento de Home Assistant 2023.3.0. En los sistemas donde no es posible instalar la actualizaci\u00f3n para bloquear la vulnerabilidad, se puede limitar el acceso al puerto de red del servicio web de Home Assistant desde redes externas. <\/p>\n
El m\u00e9todo de explotaci\u00f3n de la vulnerabilidad a\u00fan no se detalla (seg\u00fan los desarrolladores, alrededor del 1\/3 de los usuarios han instalado la actualizaci\u00f3n y muchas sistemas siguen siendo vulnerables). En la versi\u00f3n corregida, bajo el pretexto de optimizaci\u00f3n, se han realizado cambios en el manejo de tokens y solicitudes proxy, y se han a\u00f1adido filtros para bloquear la sustituci\u00f3n de consultas SQL, la inserci\u00f3n de la etiqueta y el uso de rutas con \u2018..\/\u2019 y \u2018\/.\/\u2019. \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"