હોમ આસિસ્ટન્ટ પ્લેટફોર્મમાં રિમોટલી એક્સપ્લોઈટેડ નબળાઈ

હોમ આસિસ્ટન્ટ ઓપન હોમ ઓટોમેશન પ્લેટફોર્મમાં એક જટિલ નબળાઈ (CVE-2023-27482) ઓળખવામાં આવી છે, જે પ્રમાણીકરણને બાયપાસ કરીને અને વિશેષાધિકૃત સુપરવાઈઝર API ની સંપૂર્ણ ઍક્સેસ મેળવવાની મંજૂરી આપે છે, જેના દ્વારા તમે સેટિંગ્સ બદલી શકો છો, સોફ્ટવેર ઇન્સ્ટોલ/અપડેટ કરી શકો છો, એડ મેનેજ કરી શકો છો. -ઓન્સ અને બેકઅપ્સ.

આ મુદ્દો એવા ઇન્સ્ટોલેશનને અસર કરે છે જે સુપરવાઇઝર ઘટકનો ઉપયોગ કરે છે અને તે તેના પ્રથમ પ્રકાશન (2017 થી) થી હાજર છે. ઉદાહરણ તરીકે, હોમ આસિસ્ટન્ટ ઓએસ અને હોમ આસિસ્ટન્ટની દેખરેખ હેઠળના વાતાવરણમાં નબળાઈ હાજર છે, પરંતુ હોમ આસિસ્ટન્ટ કોર પર આધારિત હોમ આસિસ્ટન્ટ કન્ટેનર (ડોકર) અને મેન્યુઅલી બનાવેલા પાયથોન એન્વાયર્નમેન્ટ્સને અસર કરતી નથી.

હોમ આસિસ્ટન્ટ સુપરવાઇઝર વર્ઝન 2023.01.1માં નબળાઈને ઠીક કરવામાં આવી છે. હોમ આસિસ્ટન્ટ 2023.3.0 રિલીઝમાં વધારાના સુરક્ષા બાયપાસ વિકલ્પનો સમાવેશ કરવામાં આવ્યો છે. સિસ્ટમો પર જે નબળાઈને અવરોધિત કરવા માટે અપડેટ ઇન્સ્ટોલ કરવામાં નિષ્ફળ જાય છે, તમે બાહ્ય નેટવર્ક્સમાંથી હોમ આસિસ્ટન્ટ વેબ સેવાના નેટવર્ક પોર્ટની ઍક્સેસને પ્રતિબંધિત કરી શકો છો.

નબળાઈના શોષણની પદ્ધતિ હજુ સુધી વિગતવાર નથી (વિકાસકર્તાઓ અનુસાર, લગભગ 1/3 વપરાશકર્તાઓએ અપડેટ ઇન્સ્ટોલ કર્યું છે અને ઘણી સિસ્ટમો સંવેદનશીલ રહે છે). સુધારેલ સંસ્કરણમાં, ઑપ્ટિમાઇઝેશનની આડમાં, ટોકન્સ અને પ્રોક્સી વિનંતીઓની પ્રક્રિયામાં ફેરફારો કરવામાં આવ્યા હતા, અને ટેગ દાખલ કરીને, SQL ક્વેરીઝના અવેજીને અવરોધિત કરવા માટે ફિલ્ટર્સ ઉમેરવામાં આવ્યા હતા. » и использования путей с «../» и «/./».

સોર્સ: opennet.ru