V otvorenej platforme domácej automatizácie Home Assistant bola zistená kritická zraniteľnosť (CVE-2023-27482), ktorá umožňuje obísť autentifikáciu a získať plný prístup k privilegovanému API Supervisor, cez ktoré je možné meniť nastavenia, inštalovať/aktualizovať softvér, spravovať doplnky a zálohy.
Problém zasahuje inštalácie, v ktorých sa používa komponent Supervisor a objavuje sa od prvých jeho vydaní (od roku 2017). Napríklad, zraniteľnosť je prítomná v prostrediach Home Assistant OS a Home Assistant Supervised, ale netýka sa Home Assistant Container (Docker) a ručne vytvorených Python prostredí založených na Home Assistant Core.
Zraniteľnosť bola odstránená vo verzii Home Assistant Supervisor 2023.01.1. Navyše, obchádzajúca alternatíva ochrany je zahrnutá vo verzii Home Assistant 2023.3.0. Na systémoch, na ktorých nie je možné nainštalovať aktualizáciu na zablokovanie zraniteľnosti, je možné obmedziť prístup k sieťovému portu webovej služby Home Assistant z externých sietí.
Metóda zneužitia zraniteľnosti zatiaľ nie je podrobne opísaná (podľa odhadov vývojárov okolo 1/3 používateľov nainštalovalo aktualizáciu a mnoho systémov zostáva zraniteľných). V opravených verziách, pod zámienkou optimalizácie, boli vykonané zmeny v spracovaní tokenov a prenášaných požiadaviek, ako aj pridané filtre na blokovanie vkladania SQL požiadaviek, vkladania značky „“ a používania ciest s „../“ a „/./“.
Zdroj: opennet.ru
