Kerentanan yang dapat dieksploitasi dari jarak jauh di platform Home Assistant

Kerentanan kritis (CVE-2023-27482) telah diidentifikasi di platform otomasi rumah terbuka Home Assistant, yang memungkinkan Anda melewati otentikasi dan mendapatkan akses penuh ke Supervisor API yang memiliki hak istimewa, yang melaluinya Anda dapat mengubah pengaturan, menginstal/memperbarui perangkat lunak, mengelola add-on dan cadangan.

Masalah tersebut mempengaruhi instalasi yang menggunakan komponen Supervisor dan telah muncul sejak rilis pertama (sejak 2017). Misalnya, kerentanan ada di lingkungan Home Assistant OS dan Home Assistant Supervised, tetapi tidak memengaruhi Home Assistant Container (Docker) dan lingkungan Python yang dibuat secara manual berdasarkan Home Assistant Core.

Kerentanan telah diperbaiki di Home Assistant Supervisor versi 2023.01.1. Solusi tambahan disertakan dalam rilis Home Assistant 2023.3.0. Pada sistem yang tidak memungkinkan untuk menginstal pembaruan untuk memblokir kerentanan, Anda dapat membatasi akses ke port jaringan layanan web Home Assistant dari jaringan eksternal.

Metode eksploitasi kerentanan belum dirinci (menurut pengembang, sekitar 1/3 pengguna telah menginstal pembaruan dan banyak sistem masih rentan). Dalam versi yang diperbaiki, dengan kedok optimasi, perubahan telah dilakukan pada pemrosesan token dan kueri proksi, dan filter telah ditambahkan untuk memblokir substitusi kueri SQL dan penyisipan " » и использования путей с «../» и «/./».

Sumber: opennet.ru