गृह सहायक प्लेटफर्ममा टाढाबाट शोषित जोखिम

गृह सहायक ओपन होम स्वचालन प्लेटफर्ममा एउटा महत्वपूर्ण जोखिम (CVE-2023-27482) पहिचान गरिएको छ, जसले प्रमाणीकरणलाई बाइपास गर्न र विशेषाधिकार प्राप्त सुपरभाइजर एपीआईमा पूर्ण पहुँच प्राप्त गर्न अनुमति दिन्छ, जसको माध्यमबाट तपाइँ सेटिङहरू परिवर्तन गर्न, सफ्टवेयर स्थापना / अद्यावधिक गर्न, थप व्यवस्थापन गर्न सक्नुहुन्छ। - अन र ब्याकअप।

मुद्दाले सुपरभाइजर कम्पोनेन्ट प्रयोग गर्ने स्थापनाहरूलाई असर गर्छ र यसको पहिलो विमोचन (२०१७ देखि) देखि नै रहेको छ। उदाहरणका लागि, जोखिम गृह सहायक OS र गृह सहायकको निरीक्षण गरिएको वातावरणमा अवस्थित छ, तर यसले गृह सहायक कन्टेनर (डकर) र म्यानुअल रूपमा गृह सहायक कोरमा आधारित पाइथन वातावरणहरूलाई असर गर्दैन।

गृह सहायक पर्यवेक्षक संस्करण 2023.01.1 मा जोखिम फिक्स गरिएको छ। गृह सहायक २०२३.३.० रिलिजमा अतिरिक्त सुरक्षा बाइपास विकल्प समावेश गरिएको छ। प्रणालीहरूमा जो कमजोरी रोक्नको लागि अद्यावधिक स्थापना गर्न असफल हुन्छ, तपाइँ बाह्य नेटवर्कहरूबाट गृह सहायक वेब सेवाको नेटवर्क पोर्टमा पहुँच प्रतिबन्धित गर्न सक्नुहुन्छ।

जोखिमको शोषणको विधि अझै विस्तृत गरिएको छैन (विकासकर्ताहरूका अनुसार, लगभग 1/3 प्रयोगकर्ताहरूले अद्यावधिक स्थापना गरेका छन् र धेरै प्रणालीहरू कमजोर रहन्छन्)। सुधारिएको संस्करणमा, अप्टिमाइजेसनको आडमा, टोकन र प्रोक्सी अनुरोधहरूको प्रशोधनमा परिवर्तनहरू गरियो, र SQL क्वेरीहरूको प्रतिस्थापन रोक्न फिल्टरहरू थपियो, ट्याग सम्मिलित गर्दै। » и использования путей с «../» и «/./».

स्रोत: opennet.ru