פגיעות הניתנת לניצול מרחוק בפלטפורמת Home Assistant

נקודת תורפה קריטית (CVE-2023-27482) זוהתה בפלטפורמת האוטומציה הביתית הפתוחה Home Assistant, המאפשרת לך לעקוף את האימות ולקבל גישה מלאה ל-Supervisor API הפריבילגי, באמצעותו ניתן לשנות הגדרות, להתקין/לעדכן תוכנה, לנהל הרחבות וגיבויים.

הבעיה משפיעה על התקנות המשתמשות ברכיב ה-Supervisor והופיעה מאז השחרורים הראשונים שלו (מאז 2017). לדוגמה, הפגיעות קיימת בסביבות Home Assistant OS ו-Home Assistant בפיקוח, אך אינה משפיעה על Home Assistant Container (Docker) ועל סביבות Python שנוצרו באופן ידני המבוססות על Home Assistant Core.

הפגיעות תוקנה בגרסה 2023.01.1 של Home Assistant Supervisor. פתרון נוסף כלול במהדורת Home Assistant 2023.3.0. במערכות בהן לא ניתן להתקין את העדכון כדי לחסום את הפגיעות, ניתן להגביל את הגישה ליציאת הרשת של שירות האינטרנט Home Assistant מרשתות חיצוניות.

אופן ניצול הפגיעות טרם פורטה (לטענת המפתחים, כ-1/3 מהמשתמשים התקינו את העדכון ומערכות רבות נותרו פגיעות). בגרסה המתוקנת, במסווה של אופטימיזציה, בוצעו שינויים בעיבוד טוקנים ושאילתות פרוקסי, ונוספו מסננים לחסימת החלפת שאילתות SQL והכנסת ה-" » и использования путей с «../» и «/./».

מקור: OpenNet.ru