Ho na le ts'oaetso ea bohlokoa (CVE-2023-27482) sethaleng se bulehileng sa Home Home Assistant, se u lumellang hore u tlōle bopaki 'me u fumane monyetla oa ho fumana monyetla oa ho fumana API ea Supervisor, eo ka eona u ka fetolang litlhophiso, kenya / ho ntlafatsa software, laola li-add-ons le li-backups.
Bothata bo ama lits'ebetso tse sebelisang karolo ea Supervisor mme esale e hlaha ho tloha ha e qala ho lokolloa (ho tloha ka 2017). Mohlala, tlokotsi e teng tikolohong ea Mothusi oa Lehae oa OS le tikolohong ea Tlhokomelo ea Mothusi oa Lehae, empa ha e ame Setshelo sa Mothusi oa Lehae (Docker) le tikoloho ea Python e entsoeng ka letsoho ho ipapisitsoe le Home Assistant Core.
Kotsi e tsitsitse ho mofuta oa 2023.01.1 oa Mothusi oa Mothusi oa Lehae. Workaround e 'ngoe e kenyellelitsoe tokollong ea Home Assistant 2023.3.0. Litsamaisong tseo ho sa khoneheng ho kenya lintlafatso ho thibela ho ba kotsing, o ka thibela phihlello ea marang-rang a ts'ebeletso ea webo ea Mothusi oa Lehae ho tsoa marang-rang a kantle.
Mokhoa oa ho sebelisa monyetla oa ho ba kotsing ha o so hlalosoe ka botlalo (ho ea ka bahlahisi, hoo e ka bang 1/3 ea basebelisi ba kentse ntlafatso mme lits'ebetso tse ngata li lula li le kotsing). Phetolelong e lokisitsoeng, tlas'a mokhoa oa ho ntlafatsa, liphetoho li entsoe mabapi le ho sebetsana le li-tokens le lipotso tsa proxied, 'me li-filters li kenyelitsoe ho thibela ho kenngoa ha lipotso tsa SQL le ho kenngoa ha " » и использования путей с «../» и «/./».
Source: opennet.ru