Ранливост што може да се искористи од далечина во платформата Home Assistant

Критична ранливост (CVE-2023-27482) е идентификувана во платформата за отворена домашна автоматизација Home Assistant, која ви овозможува да ја заобиколите автентикацијата и да добиете целосен пристап до привилегираниот API на Supervisor, преку кој можете да ги менувате поставките, да инсталирате/ажурирате софтвер, управувајте со додатоци и резервни копии.

Проблемот влијае на инсталациите што ја користат компонентата Supervisor и се појави уште од нејзините први изданија (од 2017 година). На пример, ранливоста е присутна во околините на Home Assistant OS и Home Assistant надгледуван, но не влијае на Home Assistant Container (Docker) и на рачно креираните околини на Python врз основа на Home Assistant Core.

Ранливоста е поправена во верзијата 2023.01.1 на Home Assistant Supervisor. Во изданието на Home Assistant 2023.3.0 е вклучено дополнително решение. На системи на кои не е можно да се инсталира ажурирањето за да се блокира ранливоста, можете да го ограничите пристапот до мрежната порта на веб-услугата Home Assistant од надворешни мрежи.

Начинот на искористување на ранливоста сè уште не е детален (според програмерите, околу 1/3 од корисниците го инсталирале ажурирањето и многу системи остануваат ранливи). Во коригираната верзија, под маската на оптимизација, направени се промени во обработката на токени и прокси пребарувања, а додадени се филтри за да се блокира замената на SQL барањата и вметнувањето на " » и использования путей с «../» и «/./».

Извор: opennet.ru