ភាពងាយរងគ្រោះដែលអាចទាញយកពីចម្ងាយនៅក្នុងវេទិកាជំនួយការផ្ទះ

ភាពងាយរងគ្រោះសំខាន់ (CVE-2023-27482) ត្រូវបានកំណត់អត្តសញ្ញាណនៅក្នុងវេទិកាស្វ័យប្រវត្តិកម្មផ្ទះបើកចំហ Home Assistant ដែលអនុញ្ញាតឱ្យអ្នករំលងការផ្ទៀងផ្ទាត់ និងទទួលបានសិទ្ធិពេញលេញទៅកាន់ Supervisor API ដែលមានសិទ្ធិ តាមរយៈការដែលអ្នកអាចផ្លាស់ប្តូរការកំណត់ ដំឡើង/ធ្វើបច្ចុប្បន្នភាពកម្មវិធី។ គ្រប់គ្រងកម្មវិធីបន្ថែម និងការបម្រុងទុក។

បញ្ហាប៉ះពាល់ដល់ការដំឡើងដែលប្រើសមាសភាគអ្នកគ្រប់គ្រង ហើយបានបង្ហាញខ្លួនចាប់តាំងពីការចេញផ្សាយលើកដំបូង (ចាប់តាំងពីឆ្នាំ 2017)។ ឧទាហរណ៍ ភាពងាយរងគ្រោះមាននៅក្នុងមុខងារ Home Assistant OS និង Home Assistant Supervised ប៉ុន្តែមិនប៉ះពាល់ដល់ Home Assistant Container (Docker) និងបរិស្ថាន Python ដែលបានបង្កើតដោយដៃដោយផ្អែកលើ Home Assistant Core ទេ។

ភាពងាយរងគ្រោះត្រូវបានជួសជុលនៅក្នុង Home Assistant Supervisor កំណែ 2023.01.1។ ដំណោះស្រាយបន្ថែមត្រូវបានរួមបញ្ចូលនៅក្នុងការចេញផ្សាយ Home Assistant 2023.3.0។ នៅលើប្រព័ន្ធដែលវាមិនអាចដំឡើងការអាប់ដេតដើម្បីទប់ស្កាត់ភាពងាយរងគ្រោះ អ្នកអាចដាក់កម្រិតការចូលប្រើច្រកបណ្តាញនៃសេវាកម្មគេហទំព័រ Home Assistant ពីបណ្តាញខាងក្រៅ។

វិធីសាស្រ្តនៃការទាញយកភាពងាយរងគ្រោះមិនទាន់ត្រូវបានលម្អិតនៅឡើយទេ (យោងទៅតាមអ្នកអភិវឌ្ឍន៍ប្រហែល 1/3 នៃអ្នកប្រើប្រាស់បានដំឡើងការអាប់ដេត ហើយប្រព័ន្ធជាច្រើននៅតែងាយរងគ្រោះ)។ នៅក្នុងកំណែដែលបានកែ ក្រោមការបង្កើនប្រសិទ្ធភាព ការផ្លាស់ប្តូរត្រូវបានធ្វើឡើងចំពោះដំណើរការនៃសញ្ញាសម្ងាត់ និងសំណួរប្រូកស៊ី ហើយតម្រងត្រូវបានបន្ថែមដើម្បីទប់ស្កាត់ការជំនួសសំណួរ SQL និងការបញ្ចូល " » и использования путей с «../» и «/./».

ប្រភព: opennet.ru