In het open platform voor domotica Home Assistant is een kritieke kwetsbaarheid (CVE-2023-27482) ontdekt die het mogelijk maakt om de authenticatie te omzeilen en volledige toegang te krijgen tot de geprivilegieerde API Supervisor, waarmee instellingen kunnen worden gewijzigd, software kan worden geĆÆnstalleerd/geĆ¼pdatet, en met add-ons en back-ups kan worden beheerd.
Het probleem betreft installaties die gebruikmaken van de Supervisor-component en doet zich voor vanaf de eerste versies (sinds 2017). Bijvoorbeeld, de kwetsbaarheid komt voor in de omgevingen Home Assistant OS en Home Assistant Supervised, maar heeft geen impact op Home Assistant Container (Docker) en handmatig gemaakte Python-omgevingen op basis van Home Assistant Core.
De kwetsbaarheid is verholpen in versie Home Assistant Supervisor 2023.01.1. Bovendien is er een workaround voor bescherming opgenomen in de release van Home Assistant 2023.3.0. Op systemen waar het niet mogelijk is om de update te installeren die de kwetsbaarheid blokkeert, kan de toegang tot de netwerksocket van de Home Assistant webservice vanuit externe netwerken worden beperkt.
De exploitatiemethode van de kwetsbaarheid wordt nog niet gedetailleerd (volgens de ontwikkelaars heeft ongeveer 1/3 van de gebruikers de update geĆÆnstalleerd en blijven veel systemen kwetsbaar). In de gecorrigeerde versie zijn er wijzigingen aangebracht in de verwerking van tokens en proxyverzoeken, en zijn er filters toegevoegd om SQL-injecties, het invoegen van de tag "" en het gebruik van paden met "..\/" en "\/.", te blokkeren.
Bron: opennet.ru
