ഹോം അസിസ്റ്റന്റ് പ്ലാറ്റ്‌ഫോമിൽ വിദൂരമായി ചൂഷണം ചെയ്യാവുന്ന അപകടസാധ്യത

ഓപ്പൺ ഹോം ഓട്ടോമേഷൻ പ്ലാറ്റ്‌ഫോമായ ഹോം അസിസ്റ്റന്റിൽ ഗുരുതരമായ ഒരു അപകടസാധ്യത (CVE-2023-27482) തിരിച്ചറിഞ്ഞിട്ടുണ്ട്, ഇത് പ്രാമാണീകരണം ഒഴിവാക്കാനും പ്രത്യേക സൂപ്പർവൈസർ API-ലേക്ക് പൂർണ്ണ ആക്‌സസ് നേടാനും നിങ്ങളെ അനുവദിക്കുന്നു, അതിലൂടെ നിങ്ങൾക്ക് ക്രമീകരണങ്ങൾ മാറ്റാനും സോഫ്‌റ്റ്‌വെയർ ഇൻസ്റ്റാൾ ചെയ്യാനും/അപ്‌ഡേറ്റുചെയ്യാനും കഴിയും. ആഡ്-ഓണുകളും ബാക്കപ്പുകളും നിയന്ത്രിക്കുക.

സൂപ്പർവൈസർ ഘടകം ഉപയോഗിക്കുന്ന ഇൻസ്റ്റാളേഷനുകളെ ഈ പ്രശ്നം ബാധിക്കുകയും അതിന്റെ ആദ്യ പതിപ്പുകൾ മുതൽ (2017 മുതൽ) പ്രത്യക്ഷപ്പെടുകയും ചെയ്യുന്നു. ഉദാഹരണത്തിന്, ഹോം അസിസ്റ്റന്റ് ഒഎസിലും ഹോം അസിസ്റ്റന്റ് സൂപ്പർവൈസുചെയ്‌ത പരിതസ്ഥിതികളിലും ഈ അപകടസാധ്യതയുണ്ട്, എന്നാൽ ഹോം അസിസ്റ്റന്റ് കണ്ടെയ്‌നറിനെയും (ഡോക്കർ) ഹോം അസിസ്റ്റന്റ് കോറിനെ അടിസ്ഥാനമാക്കി സ്വമേധയാ സൃഷ്‌ടിച്ച പൈത്തൺ എൻവയോൺമെന്റുകളെയും ബാധിക്കില്ല.

ഹോം അസിസ്റ്റന്റ് സൂപ്പർവൈസർ പതിപ്പ് 2023.01.1-ൽ കേടുപാടുകൾ പരിഹരിച്ചിരിക്കുന്നു. ഹോം അസിസ്റ്റന്റ് 2023.3.0 റിലീസിൽ ഒരു അധിക പരിഹാരമാർഗം ഉൾപ്പെടുത്തിയിട്ടുണ്ട്. അപകടസാധ്യത തടയുന്നതിന് അപ്‌ഡേറ്റ് ഇൻസ്റ്റാൾ ചെയ്യാൻ കഴിയാത്ത സിസ്റ്റങ്ങളിൽ, ബാഹ്യ നെറ്റ്‌വർക്കുകളിൽ നിന്ന് ഹോം അസിസ്റ്റന്റ് വെബ് സേവനത്തിന്റെ നെറ്റ്‌വർക്ക് പോർട്ടിലേക്കുള്ള ആക്‌സസ് നിങ്ങൾക്ക് നിയന്ത്രിക്കാനാകും.

അപകടസാധ്യത ചൂഷണം ചെയ്യുന്ന രീതി ഇതുവരെ വിശദമാക്കിയിട്ടില്ല (ഡെവലപ്പർമാരുടെ അഭിപ്രായത്തിൽ, ഏകദേശം 1/3 ഉപയോക്താക്കൾ അപ്‌ഡേറ്റ് ഇൻസ്റ്റാൾ ചെയ്തിട്ടുണ്ട്, കൂടാതെ പല സിസ്റ്റങ്ങളും ദുർബലമായി തുടരുന്നു). തിരുത്തിയ പതിപ്പിൽ, ഒപ്റ്റിമൈസേഷന്റെ മറവിൽ, ടോക്കണുകളുടെയും പ്രോക്‌സിഡ് അന്വേഷണങ്ങളുടെയും പ്രോസസ്സിംഗിൽ മാറ്റങ്ങൾ വരുത്തി, കൂടാതെ SQL ചോദ്യങ്ങളുടെ പകരം വയ്ക്കലും "" എന്നതിന്റെ ഉൾപ്പെടുത്തലും തടയുന്നതിന് ഫിൽട്ടറുകൾ ചേർത്തു. » и использования путей с «../» и «/./».

അവലംബം: opennet.ru