ຊ່ອງໂຫວ່ທີ່ໃຊ້ໄດ້ຈາກໄລຍະໄກໃນແພລດຟອມຜູ້ຊ່ວຍເຮືອນ

ຊ່ອງໂຫວ່ທີ່ສໍາຄັນ (CVE-2023-27482) ໄດ້ຖືກລະບຸໄວ້ໃນແພລະຕະຟອມອັດຕະໂນມັດໃນເຮືອນເປີດ Home Assistant, ເຊິ່ງອະນຸຍາດໃຫ້ທ່ານຂ້າມຜ່ານການກວດສອບ ແລະເຂົ້າເຖິງ API Supervisor ເຕັມຮູບແບບ, ໂດຍຜ່ານທີ່ທ່ານສາມາດປ່ຽນການຕັ້ງຄ່າ, ຕິດຕັ້ງ/ອັບເດດຊອບແວ, ຈັດການ add-ons ແລະ backups.

ບັນຫາມີຜົນຕໍ່ການຕິດຕັ້ງທີ່ໃຊ້ອົງປະກອບ Supervisor ແລະໄດ້ປະກົດຂຶ້ນນັບຕັ້ງແຕ່ການເປີດຕົວຄັ້ງທໍາອິດ (ນັບຕັ້ງແຕ່ 2017). ຕົວຢ່າງ, ຊ່ອງໂຫວ່ແມ່ນມີຢູ່ໃນສະພາບແວດລ້ອມ Home Assistant OS ແລະ Home Assistant Supervised, ແຕ່ບໍ່ມີຜົນຕໍ່ Home Assistant Container (Docker) ແລະ ສະພາບແວດລ້ອມ Python ສ້າງດ້ວຍຕົນເອງໂດຍອີງໃສ່ Home Assistant Core.

ຊ່ອງໂຫວ່ໄດ້ຮັບການແກ້ໄຂໃນຜູ້ຊ່ວຍຜູ້ຄຸມງານຢູ່ເຮືອນເວີຊັນ 2023.01.1. ການແກ້ໄຂເພີ່ມເຕີມແມ່ນລວມຢູ່ໃນການເປີດຕົວຂອງ Home Assistant 2023.3.0. ໃນລະບົບທີ່ບໍ່ສາມາດຕິດຕັ້ງການອັບເດດເພື່ອສະກັດຊ່ອງໂຫວ່ໄດ້, ທ່ານສາມາດຈໍາກັດການເຂົ້າເຖິງພອດເຄືອຂ່າຍຂອງບໍລິການເວັບ Home Assistant ຈາກເຄືອຂ່າຍພາຍນອກ.

ວິທີການຂຸດຄົ້ນຊ່ອງໂຫວ່ຍັງບໍ່ທັນມີລາຍລະອຽດເທື່ອ (ອີງຕາມນັກພັດທະນາ, ຜູ້ໃຊ້ປະມານ 1/3 ໄດ້ຕິດຕັ້ງການອັບເດດ ແລະຫຼາຍລະບົບຍັງມີຄວາມສ່ຽງ). ໃນສະບັບທີ່ຖືກແກ້ໄຂ, ພາຍໃຕ້ການເພີ່ມປະສິດທິພາບ, ມີການປ່ຽນແປງການປຸງແຕ່ງ tokens ແລະ proxied queries, ແລະການກັ່ນຕອງໄດ້ຖືກເພີ່ມເພື່ອສະກັດການທົດແທນການສອບຖາມ SQL ແລະການແຊກຂອງ " » и использования путей с «../» и «/./».

ແຫຼ່ງຂໍ້ມູນ: opennet.ru