{"id":107226,"date":"2023-03-11T06:48:11","date_gmt":"2023-03-11T04:48:11","guid":{"rendered":"https:\/\/prohoster.info\/?p=107226"},"modified":"2023-03-13T12:06:31","modified_gmt":"2023-03-13T10:06:31","slug":"udalyonno-ekspluatiruemaya-uyazvimost-v-platforme-home-assistant","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/udalyonno-ekspluatiruemaya-uyazvimost-v-platforme-home-assistant","title":{"rendered":"Afstandsexploiteerbare kwetsbaarheid in het Home Assistant-platform","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In het open platform voor domotica Home Assistant is een kritieke kwetsbaarheid (CVE-2023-27482) ontdekt die het mogelijk maakt om de authenticatie te omzeilen en volledige toegang te krijgen tot de geprivilegieerde API Supervisor, waarmee instellingen kunnen worden gewijzigd, software kan worden ge\u00efnstalleerd\/ge\u00fcpdatet, en met add-ons en back-ups kan worden beheerd. <\/p>\n
Het probleem betreft installaties die gebruikmaken van de Supervisor-component en doet zich voor vanaf de eerste versies (sinds 2017). Bijvoorbeeld, de kwetsbaarheid komt voor in de omgevingen Home Assistant OS en Home Assistant Supervised, maar heeft geen impact op Home Assistant Container (Docker) en handmatig gemaakte Python-omgevingen op basis van Home Assistant Core. <\/p>\n
De kwetsbaarheid is verholpen in versie Home Assistant Supervisor 2023.01.1. Bovendien is er een workaround voor bescherming opgenomen in de release van Home Assistant 2023.3.0. Op systemen waar het niet mogelijk is om de update te installeren die de kwetsbaarheid blokkeert, kan de toegang tot de netwerksocket van de Home Assistant webservice vanuit externe netwerken worden beperkt. <\/p>\n
De exploitatiemethode van de kwetsbaarheid wordt momenteel niet gedetailleerd (volgens de ontwikkelaars heeft ongeveer 1\/3 van de gebruikers de update ge\u00efnstalleerd en blijven veel systemen kwetsbaar). In de gecorrigeerde versie zijn er onder het mom van optimalisatie wijzigingen aangebracht in de verwerking van tokens en doorgestuurde verzoeken, en zijn er filters toegevoegd om de invoeging van SQL-query's, het invoegen van de tag en het gebruik van paden met ..\/ en \/.\/ te blokkeren. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"