En den öppna plattformen för hemautomatisering Home Assistant har en kritisk sårbarhet (CVE-2023-27482) identifierats, som möjliggör omgång kring autentisering och total åtkomst till det privilegierade API:et för Supervisor, genom vilket man kan ändra inställningar, installera/uppdatera programvara, hantera tillägg och säkerhetskopior.
Problemet påverkar installationer där komponenten Supervisor används och har funnits sedan de tidigaste versionerna (sedan 2017). Sårbarheten är exempelvis närvarande i Home Assistant OS och Home Assistant Supervised-miljöer, men påverkar inte Home Assistant Container (Docker) och manuellt skapade Python-miljöer baserat på Home Assistant Core.
Sårbarheten har åtgärdats i versionen Home Assistant Supervisor 2023.01.1. Dessutom har en workaround inkluderats i versionen av Home Assistant 2023.3.0. På system där uppdateringen för att blockera sårbarheten inte kan installeras kan man begränsa åtkomsten till nätverksporten för Home Assistant-webbtjänsten från externa nätverk.
Metoden för att utnyttja sårbarheten har ännu inte detaljbeskrivits (enligt utvecklarna har cirka 1/3 av användarna installerat uppdateringen och många system förblir sårbara). I den korrigerade versionen har ändringar gjorts under förespeglingen av optimering i hanteringen av token och proxyförfrågningar, och filter har även lagts till för att blockera injektion av SQL-frågor, införandet av taggen "" och användning av sökvägar med "../" och "./".
Källa: opennet.ru
