Foi identificada uma vulnerabilidade crítica (CVE-2023-27482) na plataforma de automação residencial de código aberto Home Assistant, que permite contornar a autenticação e obter acesso total à API privilegiada do Supervisor, através da qual é possível alterar configurações, instalar/atualizar softwares, gerenciar complementos e backups.
O problema afeta instalações que utilizam o componente Supervisor e aparece desde as suas primeiras versões (desde 2017). Por exemplo, a vulnerabilidade está presente nos ambientes Home Assistant OS e Home Assistant Supervised, mas não afeta o Home Assistant Container (Docker) e ambientes Python criados manualmente com base no Home Assistant Core.
A vulnerabilidade foi corrigida na versão Home Assistant Supervisor 2023.01.1. Além disso, uma solução alternativa de proteção foi incluída na versão Home Assistant 2023.3.0. Em sistemas onde não é possível instalar a atualização para bloquear a vulnerabilidade, o acesso à porta de rede do serviço web Home Assistant pode ser restringido a redes externas.
O método de exploração da vulnerabilidade ainda não foi detalhado (segundo os desenvolvedores, cerca de 1/3 dos usuários instalaram a atualização e muitos sistemas permanecem vulneráveis). Na versão corrigida, sob a forma de otimização, foram feitas alterações no tratamento de tokens e nas solicitações proxy, além de serem adicionados filtros para bloquear a injeção de consultas SQL, a inserção da tag '' e o uso de caminhos com '../' e '/./'.
Fonte: opennet.ru
