The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Удалённо эксплуатируемая уязвимость в платформе Home Assistant

11.03.2023 07:14

В открытой платформе домашней автоматизации Home Assistant выявлена критическая уязвимость (CVE-2023-27482), позволяющая обойти аутентификацию и получить полный доступ к привилегированному API Supervisor, через который можно менять настройки, устанавливать/обновлять ПО, управлять дополнениями и резервными копиями.

Проблема затрагивает установки, в которых используется компонент Supervisor и проявляется, начиная с первых его выпусков (с 2017 года). Например, уязвимость присутствует в окружениях Home Assistant OS и Home Assistant Supervised, но не затрагивает Home Assistant Container (Docker) и вручную созданные Python-окружения на базе Home Assistant Core.

Уязвимость устранена в версии Home Assistant Supervisor 2023.01.1. Дополнительно обходной вариант защиты включён в состав выпуска Home Assistant 2023.3.0. На системах, на которых не удаётся установить обновление, для блокирования уязвимости можно ограничить доступ к сетевому порту web-сервиса Home Assistant из внешних сетей.

Метод эксплуатации уязвимости пока не детализируется (по оценке разработчиков около 1/3 пользователей установили обновление и многие системы остаются уязвимы). В исправленной версии под видом оптимизации внесены изменения в обработку токенов и проксируемых запросов, а также добавлены фильтры для блокирования подстановки SQL-запросов, вставки тега "<script>" и использования путей с "../" и "/./".

  1. Главная ссылка к новости (https://www.home-assistant.io/...)
  2. OpenNews: Проект Valetudo развивает модификации прошивок для локального управления роботами-пылесосами
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/58777-home-assistant
Ключевые слова: home-assistant
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (63) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.2, Аноним (2), 09:00, 11/03/2023 Скрыто ботом-модератором [﹢﹢﹢] [ · · · ]     [к модератору]
  • –15 +/
     
     
  • 2.3, Аноним (3), 09:03, 11/03/2023 Скрыто ботом-модератором     [к модератору]
  • +11 +/
     
     
  • 3.4, Аноним (2), 09:09, 11/03/2023 Скрыто ботом-модератором     [к модератору]
  • +2 +/
     
     
  • 4.7, Аноним (-), 09:55, 11/03/2023 Скрыто ботом-модератором     [к модератору]
  • –5 +/
     
     
  • 5.17, Аноним (2), 11:21, 11/03/2023 Скрыто ботом-модератором     [к модератору]
  • +21 +/
     
     
  • 6.55, Аноним (55), 13:28, 11/03/2023 Скрыто ботом-модератором     [к модератору]
  • –2 +/
     
     
  • 7.71, Nyanpasuu (?), 17:53, 11/03/2023 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 6.61, Плохой человек (?), 14:26, 11/03/2023 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 4.36, Аноним (36), 12:43, 11/03/2023 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 3.5, Советский инженер (?), 09:18, 11/03/2023 Скрыто ботом-модератором     [к модератору]
  • +1 +/
     
     
  • 4.8, Аноним (-), 09:57, 11/03/2023 Скрыто ботом-модератором     [к модератору]
  • +2 +/
     
     
  • 5.10, Аноним (10), 10:20, 11/03/2023 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 5.26, Советский инженер (?), 12:05, 11/03/2023 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 5.39, Аноним (36), 12:46, 11/03/2023 Скрыто ботом-модератором     [к модератору]
  • +1 +/
     
     
  • 6.40, Советский инженер (?), 12:53, 11/03/2023 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 6.42, Аноним (42), 13:01, 11/03/2023 Скрыто ботом-модератором     [к модератору]
  • –1 +/
     
  • 2.12, Аноним (12), 10:33, 11/03/2023 Скрыто ботом-модератором     [к модератору]
  • +2 +/
     
     
  • 3.18, Аноним (2), 11:24, 11/03/2023 Скрыто ботом-модератором     [к модератору]
  • +2 +/
     
     
  • 4.33, Аноним (12), 12:42, 11/03/2023 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 2.23, keydon (ok), 11:38, 11/03/2023 Скрыто ботом-модератором     [к модератору]
  • +1 +/
     
     
  • 3.24, Аноним (2), 11:44, 11/03/2023 Скрыто ботом-модератором     [к модератору]
  • +/
     
     
  • 4.35, Аноним (12), 12:42, 11/03/2023 Скрыто ботом-модератором     [к модератору]
  • +/
     
     
  • 5.41, Советский инженер (?), 12:56, 11/03/2023 Скрыто ботом-модератором     [к модератору]
  • +/
     
     
  • 6.60, Аноним (60), 14:12, 11/03/2023 Скрыто ботом-модератором     [к модератору]
  • +/
     
     
  • 7.62, Советский инженер (?), 14:28, 11/03/2023 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 2.25, Аноним (25), 11:52, 11/03/2023 Скрыто ботом-модератором     [к модератору]
  • –1 +/
     
  • 2.51, Аноним (55), 13:26, 11/03/2023 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 2.69, Плохой человек (?), 16:51, 11/03/2023 Скрыто ботом-модератором     [к модератору]
  • +/
     

     ....ответы скрыты (27)

  • 1.6, pashev.ru (?), 09:22, 11/03/2023 Скрыто ботом-модератором [﹢﹢﹢] [ · · · ]     [к модератору]
  • +3 +/
     

     ....ответы скрыты (3)

  • 1.9, Аноним (9), 10:05, 11/03/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    > но не затрагивает Home Assistant Container (Docker)

    вот так хейтеры! контеризация опять всех спасла!

     
     
  • 2.11, Аноним (10), 10:21, 11/03/2023 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Вообще очень странно что есть люди, которые ставят эту балалаечку и другие чужие петпрожекты не в изолированную среду и хотят какой-то магии и завышенной квалификации от разрабов)
     
     
  • 3.13, Аноним (12), 10:35, 11/03/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Докерохейтеры ничего а докер не ставят.
     
     
  • 4.73, Аноним (73), 23:04, 11/03/2023 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Изоляция на докере не ограничивается, есть же lxc или виртуалки которые даже более безопасные
     
     
  • 5.74, Аноним (2), 23:27, 11/03/2023 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Разные векторы атак и по-разному проектируется ИБ. Нельзя сказать, что что-то из этого "более безопасно", потому что это зависит от политик и архитектуры систем безопасности.
     
  • 3.16, Ivan_83 (ok), 11:03, 11/03/2023 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Если ставить совсем в изолированную среду то теряется часть профита.

    Например там есть мобильное приложение, которое может хоть через инет в ХА ходить, и через него всё доступно.
    Это в общем и удалённое управление и домофон и сигналку и что угодно туда можно прикрутить чему нужен инет.

     
     
  • 4.79, 31337 (??), 10:42, 12/03/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Еще как теряется. Это что, твоей сигналкой и домофоном теперь порулить не получится? Вот б...ство!
     
  • 3.19, Аноним (2), 11:26, 11/03/2023 [^] [^^] [^^^] [ответить]  
  • –2 +/
    В какую ещё изолированную среду? Supervisor это компонент, управляющий ОС и докерами. В какую среду ты его поставишь?
     
  • 2.15, Ivan_83 (ok), 11:01, 11/03/2023 [^] [^^] [^^^] [ответить]  
  • –1 +/
    У меня Core инсталяция, я себе сделал порт для фри, без этих ваших докирофф.

    Проблема в компоненте супервизор, который нашлёпка над ХА для того чтобы не только ХА но и другие приблуды запускать.

     
     
  • 3.20, Аноним (2), 11:28, 11/03/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Core всратый, там многого нет. Про фрибзд промолчу, но просто отмечу, что решение супер странное, т.к. HA разрабатывается преимущественно под линукс.
     
     
  • 4.49, Ivan_83 (ok), 13:19, 11/03/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Всего чего под коре нет - ставится отдельно.
    ESPHome я тоже портировал, правда оно ещё не годно для выкладывания но работает замечательно.
    Аналогично и прочее что ставит супервизор.

    Из того чего не взлетело - блютус, я его просто выпилил чтобы не мешался.
    Больше не натыкался ни на какие штуки которые бы ругались что у меня фря.

     
     
  • 5.56, Аноним (2), 13:28, 11/03/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Давай помогу: я портировал руками то, что на линуксе и так работает, но половина всё равно не завелась. А смысл какой в этом? Чтобы что? Скила это никакого не даст, прироста в скорости или эффективности тоже. Прокрастинация?
     
     
  • 6.75, Ivan_83 (ok), 00:53, 12/03/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Вы не правы.

    1. На линуксе это тоже кто то портирует, под разные дистры.
    2. Скил это даёт, я немного въехал в пыхтон и венв.
    3. Не завёлся только блютус.
    4. Потому что у меня сервер домашний на фре, пихать туда в виртуалки лянух я не хочу.

     
     
  • 7.76, Аноним (2), 09:55, 12/03/2023 [^] [^^] [^^^] [ответить]  
  • +/
    1. Какая разница? Я то ничего не портирую
    2. А, ты начинающий, ну тогда ок
    3. Вангую, что с любым железом будут траблы - а надо ещё zigbee свисток прикрутить как минимум
    4. Совет - приучайся сначала к прямым решениям, потом сможешь этот опыт монетизировать. Как станешь опытным и взрослым дядей - будет время потыкать маргинальщину для фана
     
     
  • 8.77, Ivan_83 (ok), 10:02, 12/03/2023 [^] [^^] [^^^] [ответить]  
  • +/
    1 Разница в том, что ты пользуешься готовым и думаешь что так и должно быть Пр... текст свёрнут, показать
     
  • 8.86, Хм (?), 01:31, 13/03/2023 [^] [^^] [^^^] [ответить]  
  • +/
    3 HA работает c Zigbee через serial port, локальный или проброшенный по tcp ... текст свёрнут, показать
     
  • 5.80, 31337 (??), 10:46, 12/03/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > Всего чего под коре нет - ставится отдельно.
    > ESPHome я тоже портировал, правда оно ещё не годно для выкладывания но работает замечательно.
    > Аналогично и прочее что ставит супервизор.

    Наколенный софт для сыкотной операционочки. Ня.

    > Из того чего не взлетело - блютус, я его просто выпилил чтобы не мешался.

    Мы так не договаривались! Впрочем, при наличии сабжа - и фиг с ним если через интернет можно, без авторизации.

    > Больше не натыкался ни на какие штуки которые бы ругались что у меня фря.

    А как же опеннетчики?

     
  • 2.45, Аноним (36), 13:10, 11/03/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Слабое утешение. Какой смысл ломать контейнер, если его можно подменить?
     

  • 1.28, VoiD (?), 12:17, 11/03/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Это интерфейс ввода/вывода для безумного дома?
     
     
  • 2.38, Аноним (12), 12:44, 11/03/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Это то что в будущем будет тобой повелевать.  
     
     
  • 3.44, Аноним (2), 13:09, 11/03/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Каким образом пайп для датчиков влажности твоей кошки может кем-то повелевать?
     
     
  • 4.50, Аноним (36), 13:20, 11/03/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Ложные срабатывания? Не верные показания? Блокирование дверей?
     
     
  • 5.57, Аноним (2), 13:33, 11/03/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Люфт температурного датчика в 1 градус сделает тебя рабом? А при блокировании квартирной двери ты помрёшь от голода? Нет, высота этой логики недостижима до простых смертных.
     
     
  • 6.85, 31337 (??), 00:48, 13/03/2023 [^] [^^] [^^^] [ответить]  
  • +/
    > Люфт температурного датчика в 1 градус сделает тебя рабом?

    А чего скромничать? Лучше в десяток. Нехай шубу одевает когда там жара. Это пожирней троллинга на опеннете.

    > А при блокировании квартирной двери ты помрёшь от голода? Нет, высота этой логики недостижима
    > до простых смертных.

    От голода не помрет, конечно, но на деньги будет поставлен. И довольно хорошо. А управлять сигналкой лучше всего в 3 часа ночи, чтобы адресат оценил лайфхак по достоинству. И кстати когда он вскочит, офигенная идея вырубить ему свет во всем доме, залочить двери, немнго перенастроить системы... чтоб ему там не скучалось. Прикольно же, теперь можно кому-то понаствившему питоногамна с мобильными приложухами сделать из умного дома полоумный.

     
  • 4.54, Аноним (12), 13:27, 11/03/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Вот вот все простачки так говорят, а то потом, да мой хозяин будет сделано мой хозяин.  
     
  • 3.46, Аноним (42), 13:11, 11/03/2023 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Ожидание: софт повелевает человечеством.
    Реальность: "Невозможно запустить приложение из-за нерешенной зависимости. Требуется библиотека obey-127.100.100.90.so, доступно в репозиториях obey-127.100.100.89.so".
     
     
  • 4.52, Аноним (36), 13:26, 11/03/2023 [^] [^^] [^^^] [ответить]  
  • +/
    Результат - пост на opennet.ru. Вынужденное или внешнемотивированое действие.
     
  • 4.53, Аноним (12), 13:27, 11/03/2023 [^] [^^] [^^^] [ответить]  
  • +/
    объясни почему эта железка от тебя чего-то требует если она тобой не повелевает?
     

  • 1.78, Аноним (-), 10:41, 12/03/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    > Python-окружения на базе Home Assistant Core.

    Ну кто б сомневался что питоняши не только нагамнякают, но еще и настолько что даже не смогут рассказать где именно, без того чтобы всех их юзеров не поимели.

     
  • 1.81, Аноним (81), 10:49, 12/03/2023 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    > изменения в обработку токенов и проксируемых запросов,
    > а также добавлены фильтры для блокирования подстановки SQL-запросов,
    > вставки тега "<script>" и использования путей с "../" и "/./".

    Судя по этим изменениям, авторы этой штуки не слышали о том что оказывается внешние данные еще и валидировать надо, оказывается. Так что ее пользователей будет ждать много чудных открытий. Это явно не последние...

     
     
  • 2.87, Хм (?), 01:35, 13/03/2023 [^] [^^] [^^^] [ответить]  
  • +/
    HA изначально не рссчитывался на выставление в инет.
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру