होम असिस्टेंट प्लेटफ़ॉर्म में दूर से शोषण योग्य भेद्यता

ओपन होम ऑटोमेशन प्लेटफॉर्म होम असिस्टेंट में एक गंभीर भेद्यता (सीवीई-2023-27482) की पहचान की गई है, जो आपको प्रमाणीकरण को बायपास करने और विशेषाधिकार प्राप्त पर्यवेक्षक एपीआई तक पूर्ण पहुंच प्राप्त करने की अनुमति देता है, जिसके माध्यम से आप सेटिंग्स बदल सकते हैं, सॉफ़्टवेयर इंस्टॉल/अपडेट कर सकते हैं। ऐड-ऑन और बैकअप प्रबंधित करें।

समस्या उन इंस्टॉलेशन को प्रभावित करती है जो सुपरवाइज़र घटक का उपयोग करते हैं और इसकी पहली रिलीज़ (2017 से) के बाद से दिखाई दे रही है। उदाहरण के लिए, भेद्यता होम असिस्टेंट ओएस और होम असिस्टेंट पर्यवेक्षित वातावरण में मौजूद है, लेकिन होम असिस्टेंट कंटेनर (डॉकर) और होम असिस्टेंट कोर पर आधारित मैन्युअल रूप से बनाए गए पायथन वातावरण को प्रभावित नहीं करती है।

गृह सहायक पर्यवेक्षक संस्करण 2023.01.1 में भेद्यता ठीक कर दी गई है। होम असिस्टेंट 2023.3.0 रिलीज़ में एक अतिरिक्त समाधान शामिल है। जिन सिस्टम पर भेद्यता को रोकने के लिए अपडेट इंस्टॉल करना संभव नहीं है, आप बाहरी नेटवर्क से होम असिस्टेंट वेब सेवा के नेटवर्क पोर्ट तक पहुंच को प्रतिबंधित कर सकते हैं।

भेद्यता का फायदा उठाने की विधि अभी तक विस्तृत नहीं की गई है (डेवलपर्स के अनुसार, लगभग 1/3 उपयोगकर्ताओं ने अपडेट इंस्टॉल कर लिया है और कई सिस्टम असुरक्षित बने हुए हैं)। संशोधित संस्करण में, अनुकूलन की आड़ में, टोकन और प्रॉक्सी क्वेरी के प्रसंस्करण में परिवर्तन किए गए हैं, और SQL क्वेरी के प्रतिस्थापन और "के सम्मिलन को अवरुद्ध करने के लिए फ़िल्टर जोड़े गए हैं।" » и использования путей с «../» и «/./».

स्रोत: opennet.ru