A kritikus sebezhetőség (CVE-2023-27482) felfedezésre került a Home Assistant nyílt háztartási automatizálási platformján, amely lehetővé teszi az azonosítás megkerülését, és teljes hozzáférést biztosít a privilégiumos Supervisor API-hoz, amelyen keresztül lehetőség van a beállítások módosítására, szoftver telepítésére/frissítésére, bővítmények kezelésére és biztonsági mentések készítésére.
A probléma azokat az installációkat érinti, ahol a Supervisor komponenst használják, és már a korai verziók óta fennáll (2017-től kezdve). Például a sebezhetőség jelen van a Home Assistant OS és a Home Assistant Supervised környezetekben, de nem érinti a Home Assistant Container (Docker) és a kézzel létrehozott Python környezeteket, amelyek a Home Assistant Core-ra épülnek.
A sebezhetőséget a Home Assistant Supervisor 2023.01.1 verziójában megszüntették. Ezen felül egy védekezési alternatíva is beépítésre került a Home Assistant 2023.3.0 kiadásába. Azokon a rendszereken, ahol nem lehetséges a sebezhetőség blokkolására frissítést telepíteni, korlátozni lehet a Home Assistant webszolgáltatásának hálózati portjához való hozzáférést külső hálózatokból.
A sebezhetőség kihasználási módszere egyelőre nem részletezett (a fejlesztők becslése szerint körülbelül 1/3 felhasználó telepítette a frissítést, és sok rendszer továbbra is sebezhető). A javított verzióban az optimalizálás látszatával változások történtek a tokenek és a továbbított kérések kezelésében, valamint szűrők kerültek hozzáadásra az SQL lekérdezések behelyettesítésének, a «<script>» címkék beszúrásának és a «..\/» és «\/./» utak használatának blokkolására.
Forrás: opennet.ru
