ਹੋਮ ਅਸਿਸਟੈਂਟ ਪਲੇਟਫਾਰਮ ਵਿੱਚ ਰਿਮੋਟਲੀ ਸ਼ੋਸ਼ਣਯੋਗ ਕਮਜ਼ੋਰੀ

ਓਪਨ ਹੋਮ ਆਟੋਮੇਸ਼ਨ ਪਲੇਟਫਾਰਮ ਹੋਮ ਅਸਿਸਟੈਂਟ ਵਿੱਚ ਇੱਕ ਨਾਜ਼ੁਕ ਕਮਜ਼ੋਰੀ (CVE-2023-27482) ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਹੈ, ਜੋ ਤੁਹਾਨੂੰ ਪ੍ਰਮਾਣਿਕਤਾ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਅਤੇ ਵਿਸ਼ੇਸ਼ ਅਧਿਕਾਰ ਪ੍ਰਾਪਤ ਸੁਪਰਵਾਈਜ਼ਰ API ਤੱਕ ਪੂਰੀ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ, ਜਿਸ ਰਾਹੀਂ ਤੁਸੀਂ ਸੈਟਿੰਗਾਂ ਨੂੰ ਬਦਲ ਸਕਦੇ ਹੋ, ਸੌਫਟਵੇਅਰ ਸਥਾਪਤ/ਅੱਪਡੇਟ ਕਰ ਸਕਦੇ ਹੋ, ਐਡ-ਆਨ ਅਤੇ ਬੈਕਅੱਪ ਦਾ ਪ੍ਰਬੰਧਨ ਕਰੋ।

ਸਮੱਸਿਆ ਉਹਨਾਂ ਸਥਾਪਨਾਵਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦੀ ਹੈ ਜੋ ਸੁਪਰਵਾਈਜ਼ਰ ਕੰਪੋਨੈਂਟ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ ਅਤੇ ਇਸਦੇ ਪਹਿਲੇ ਰੀਲੀਜ਼ (2017 ਤੋਂ) ਤੋਂ ਬਾਅਦ ਪ੍ਰਗਟ ਹੋਏ ਹਨ। ਉਦਾਹਰਨ ਲਈ, ਕਮਜ਼ੋਰੀ ਹੋਮ ਅਸਿਸਟੈਂਟ OS ਅਤੇ ਹੋਮ ਅਸਿਸਟੈਂਟ ਦੀ ਨਿਗਰਾਨੀ ਵਾਲੇ ਵਾਤਾਵਰਨ ਵਿੱਚ ਮੌਜੂਦ ਹੈ, ਪਰ ਹੋਮ ਅਸਿਸਟੈਂਟ ਕੋਰ ਦੇ ਆਧਾਰ 'ਤੇ ਹੋਮ ਅਸਿਸਟੈਂਟ ਕੰਟੇਨਰ (ਡੌਕਰ) ਅਤੇ ਹੱਥੀਂ ਬਣਾਏ ਗਏ ਪਾਈਥਨ ਵਾਤਾਵਰਨ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਨਹੀਂ ਕਰਦੀ ਹੈ।

ਕਮਜ਼ੋਰੀ ਨੂੰ ਹੋਮ ਅਸਿਸਟੈਂਟ ਸੁਪਰਵਾਈਜ਼ਰ ਸੰਸਕਰਣ 2023.01.1 ਵਿੱਚ ਫਿਕਸ ਕੀਤਾ ਗਿਆ ਹੈ। ਹੋਮ ਅਸਿਸਟੈਂਟ 2023.3.0 ਰੀਲੀਜ਼ ਵਿੱਚ ਇੱਕ ਵਾਧੂ ਹੱਲ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ ਹੈ। ਉਹਨਾਂ ਸਿਸਟਮਾਂ 'ਤੇ ਜਿਨ੍ਹਾਂ 'ਤੇ ਕਮਜ਼ੋਰੀ ਨੂੰ ਰੋਕਣ ਲਈ ਅੱਪਡੇਟ ਨੂੰ ਸਥਾਪਤ ਕਰਨਾ ਸੰਭਵ ਨਹੀਂ ਹੈ, ਤੁਸੀਂ ਬਾਹਰੀ ਨੈੱਟਵਰਕਾਂ ਤੋਂ ਹੋਮ ਅਸਿਸਟੈਂਟ ਵੈੱਬ ਸੇਵਾ ਦੇ ਨੈੱਟਵਰਕ ਪੋਰਟ ਤੱਕ ਪਹੁੰਚ ਨੂੰ ਸੀਮਤ ਕਰ ਸਕਦੇ ਹੋ।

ਕਮਜ਼ੋਰੀ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਨ ਦਾ ਤਰੀਕਾ ਅਜੇ ਤੱਕ ਵਿਸਤ੍ਰਿਤ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ (ਡਿਵੈਲਪਰਾਂ ਦੇ ਅਨੁਸਾਰ, ਲਗਭਗ 1/3 ਉਪਭੋਗਤਾਵਾਂ ਨੇ ਅਪਡੇਟ ਨੂੰ ਸਥਾਪਿਤ ਕੀਤਾ ਹੈ ਅਤੇ ਬਹੁਤ ਸਾਰੇ ਸਿਸਟਮ ਕਮਜ਼ੋਰ ਰਹਿੰਦੇ ਹਨ)। ਠੀਕ ਕੀਤੇ ਸੰਸਕਰਣ ਵਿੱਚ, ਓਪਟੀਮਾਈਜੇਸ਼ਨ ਦੀ ਆੜ ਵਿੱਚ, ਟੋਕਨਾਂ ਅਤੇ ਪ੍ਰੌਕਸੀਡ ਬੇਨਤੀਆਂ ਦੀ ਪ੍ਰਕਿਰਿਆ ਵਿੱਚ ਤਬਦੀਲੀਆਂ ਕੀਤੀਆਂ ਗਈਆਂ ਹਨ, ਅਤੇ ਫਿਲਟਰਾਂ ਨੂੰ SQL ਸਵਾਲਾਂ ਦੇ ਬਦਲ ਨੂੰ ਰੋਕਣ, "" ਟੈਗ ਦੀ ਸੰਮਿਲਨ ਅਤੇ ਵਰਤੋਂ ਨੂੰ ਰੋਕਣ ਲਈ ਜੋੜਿਆ ਗਿਆ ਹੈ। “../” ਅਤੇ “/./” ਵਾਲੇ ਮਾਰਗ।

ਸਰੋਤ: opennet.ru