È stata rilevata una vulnerabilità critica (CVE-2023-27482) nella piattaforma di automazione domestica open source Home Assistant, che consente di eludere l'autenticazione e di ottenere accesso completo all'API privilegiata di Supervisor, attraverso la quale è possibile modificare impostazioni, installare/aggiornare software, gestire componenti aggiuntivi e backup.
Il problema riguarda le installazioni in cui è utilizzato il componente Supervisor e appare a partire dalle sue prime versioni (dal 2017). Ad esempio, la vulnerabilità è presente negli ambienti Home Assistant OS e Home Assistant Supervised, ma non colpisce Home Assistant Container (Docker) e gli ambienti Python creati manualmente basati su Home Assistant Core.
La vulnerabilità è stata risolta nella versione Home Assistant Supervisor 2023.01.1. Inoltre, un workaround protettivo è stato incluso nel rilascio di Home Assistant 2023.3.0. Nei sistemi in cui non è possibile installare l'aggiornamento per bloccare la vulnerabilità, si può limitare l'accesso alla porta di rete del servizio web di Home Assistant dalle reti esterne.
Al momento il metodo di sfruttamento della vulnerabilità non è dettagliato (si stima che circa 1/3 degli utenti abbia installato l'aggiornamento e molti sistemi rimangono vulnerabili). Nella versione corretta sono state apportate modifiche alla gestione dei token e delle richieste proxy, e sono stati aggiunti filtri per bloccare la sostituzione delle query SQL, l'inserimento del tag '' e l'utilizzo di percorsi con '..' e './'.
Fonte: opennet.ru
