होम असिस्टंट प्लॅटफॉर्ममध्ये दूरस्थपणे शोषण करण्यायोग्य असुरक्षा

ओपन होम ऑटोमेशन प्लॅटफॉर्म होम असिस्टंटमध्ये एक गंभीर भेद्यता (CVE-2023-27482) ओळखली गेली आहे, जी तुम्हाला प्रमाणीकरण बायपास करण्याची आणि विशेषाधिकार प्राप्त पर्यवेक्षक API मध्ये पूर्ण प्रवेश मिळविण्याची परवानगी देते, ज्याद्वारे तुम्ही सेटिंग्ज बदलू शकता, सॉफ्टवेअर स्थापित/अपडेट करू शकता, ॲड-ऑन आणि बॅकअप व्यवस्थापित करा.

ही समस्या पर्यवेक्षक घटक वापरणाऱ्या इंस्टॉलेशन्सवर परिणाम करते आणि त्यांच्या पहिल्या प्रकाशनापासून (2017 पासून) दिसली आहे. उदाहरणार्थ, होम असिस्टंट ओएस आणि होम असिस्टंट पर्यवेक्षित वातावरणात भेद्यता उपस्थित आहे, परंतु होम असिस्टंट कोअरवर आधारित होम असिस्टंट कंटेनर (डॉकर) आणि मॅन्युअली तयार केलेल्या पायथन वातावरणावर परिणाम करत नाही.

होम असिस्टंट पर्यवेक्षक आवृत्ती 2023.01.1 मध्ये भेद्यता निश्चित केली आहे. होम असिस्टंट २०२३.३.० रिलीझमध्ये अतिरिक्त वर्कअराउंड समाविष्ट केले आहे. असुरक्षा अवरोधित करण्यासाठी अपडेट स्थापित करणे शक्य नसलेल्या सिस्टमवर, तुम्ही बाह्य नेटवर्कवरून होम असिस्टंट वेब सेवेच्या नेटवर्क पोर्टवर प्रवेश प्रतिबंधित करू शकता.

असुरक्षिततेचे शोषण करण्याची पद्धत अद्याप तपशीलवार नाही (विकासकांच्या मते, सुमारे 1/3 वापरकर्त्यांनी अद्यतन स्थापित केले आहे आणि अनेक प्रणाली असुरक्षित आहेत). दुरुस्त केलेल्या आवृत्तीमध्ये, ऑप्टिमायझेशनच्या नावाखाली, टोकन आणि प्रॉक्सी क्वेरीच्या प्रक्रियेत बदल केले गेले आहेत आणि एसक्यूएल क्वेरीच्या प्रतिस्थापना आणि "चा समावेश" अवरोधित करण्यासाठी फिल्टर जोडले गेले आहेत. » и использования путей с «../» и «/./».

स्त्रोत: opennet.ru