URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 129959
[ Назад ]
Исходное сообщение
"Удалённо эксплуатируемая уязвимость в платформе Home Assistant"
Отправлено opennews , 11-Мрт-23 07:48 
В открытой платформе домашней автоматизации Home Assistant выявлена критическая уязвимость (CVE-2023-27482), позволяющая обойти аутентификацию и получить полный доступ к привилегированному API Supervisor, через который можно менять  настройки,  устанавливать/обновлять ПО, управлять дополнениями и резервными копиями...

Подробнее: https://www.opennet.me/opennews/art.shtml?num=58777

Содержание
Сообщения в этом обсуждении
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 09:00 
Слушаю оправдания сишников.
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 09:03 
Оно на питоне написано, сударь
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 09:09 
И? Я то слушаю оправдания сишников.
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 09:55 
Ты в танке? Тебе ясно сказали, что оно написано на Питоне.
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 11:21 
Какая мне разница? Я слушаю оправдания сишников, а не питонистов! Судя по оправданиям - ты сишник. Тебя то я и ждал.
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 13:28 
Баран, неосилиыший прочитать новость и понять содержание.
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Nyanpasuu , 11-Мрт-23 17:53 
Попався!
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Плохой человек , 11-Мрт-23 14:26 
Это уже расизм какой-то
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 12:43 
Слушаю оправдание анонима, требующего оправдания сишника.
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Советский инженер , 11-Мрт-23 09:18 
А питон на чем написан? То-то же!
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 09:57 
Да, Питон написан на чистом Си. И таки да, всё советское - отсталое.
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 10:20 
Чистом как слеза младенца, а значит лучшем и не_винном
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Советский инженер , 11-Мрт-23 12:05 
>И таки да, всё советское - отсталое.

Тут трудно спорить.
Проблема только в том, что новое ,типа, российское - это вообще фикция.

"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 12:46 
PyPy это обман?
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Советский инженер , 11-Мрт-23 12:53 
это подделка
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 13:01 
Это иллюзия, созданная матрицей.
Помни, Нео, PyPy нет.
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 10:33 
Лучше расскажи почему растоманы до сих пор не переписали на раст. Слушаю оправдания растоманов.  
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 11:24 
Иди жди в другом треде, здесь слушают оправдания сишников.
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 12:42 
Он уже давно стал тредом оправдания растоманов.  
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено keydon , 11-Мрт-23 11:38 
У опытного сишника такой проблемы бы не было.
А растоманы наверняка бы накосячили.
Понадобятся другие оправдания, обращайся.
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 11:44 
Этих достаточно, спасибо.
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 12:42 
Твой выход растаман, почему не переписал на раст? Слабо?
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Советский инженер , 11-Мрт-23 12:56 
питон достаточно тормозной и безопасный, тут нечего улучшать.
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 14:12 
Ну аналог php, ruby можешь реализовать на Rust)
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Советский инженер , 11-Мрт-23 14:28 
по ruby работа идет.
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 11:52 
Вован заждался когда ты его выслушаешь.
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 13:26 
Послушай питонистов.
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Плохой человек , 11-Мрт-23 16:51 
https://rustpython.github.io/
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено pashev.ru , 11-Мрт-23 09:22 
В новости столько раз упоминается Home Assistant, что новость похожа на спам.
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Perlovka , 11-Мрт-23 12:22 
Весь Home Assistant и есть спам.Там минимальная установка занимает 8Gb. Это прям эталон shitware.
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 12:39 
Нормально ты работу многих людей назвал дерьмом. Тебя разве родители учили быть таким поросёнком? Я так не думаю.

А про 8 Гб это просто не правда - у меня на rpi на 8 Гб флешке стоит без проблем.

"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 13:02 
Ловите разработчика Home Assistant!
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 10:05 
> но не затрагивает Home Assistant Container (Docker)

вот так хейтеры! контеризация опять всех спасла!

"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 10:21 
Вообще очень странно что есть люди, которые ставят эту балалаечку и другие чужие петпрожекты не в изолированную среду и хотят какой-то магии и завышенной квалификации от разрабов)
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 10:35 
Докерохейтеры ничего а докер не ставят.
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 23:04 
Изоляция на докере не ограничивается, есть же lxc или виртуалки которые даже более безопасные
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 23:27 
Разные векторы атак и по-разному проектируется ИБ. Нельзя сказать, что что-то из этого "более безопасно", потому что это зависит от политик и архитектуры систем безопасности.
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Ivan_83 , 11-Мрт-23 11:03 
Если ставить совсем в изолированную среду то теряется часть профита.

Например там есть мобильное приложение, которое может хоть через инет в ХА ходить, и через него всё доступно.
Это в общем и удалённое управление и домофон и сигналку и что угодно туда можно прикрутить чему нужен инет.

"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено 31337 , 12-Мрт-23 10:42 
Еще как теряется. Это что, твоей сигналкой и домофоном теперь порулить не получится? Вот б...ство!
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 11:26 
В какую ещё изолированную среду? Supervisor это компонент, управляющий ОС и докерами. В какую среду ты его поставишь?
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Ivan_83 , 11-Мрт-23 11:01 
У меня Core инсталяция, я себе сделал порт для фри, без этих ваших докирофф.

Проблема в компоненте супервизор, который нашлёпка над ХА для того чтобы не только ХА но и другие приблуды запускать.

"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 11:28 
Core всратый, там многого нет. Про фрибзд промолчу, но просто отмечу, что решение супер странное, т.к. HA разрабатывается преимущественно под линукс.
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Ivan_83 , 11-Мрт-23 13:19 
Всего чего под коре нет - ставится отдельно.
ESPHome я тоже портировал, правда оно ещё не годно для выкладывания но работает замечательно.
Аналогично и прочее что ставит супервизор.

Из того чего не взлетело - блютус, я его просто выпилил чтобы не мешался.
Больше не натыкался ни на какие штуки которые бы ругались что у меня фря.

"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 13:28 
Давай помогу: я портировал руками то, что на линуксе и так работает, но половина всё равно не завелась. А смысл какой в этом? Чтобы что? Скила это никакого не даст, прироста в скорости или эффективности тоже. Прокрастинация?
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Ivan_83 , 12-Мрт-23 00:53 
Вы не правы.

1. На линуксе это тоже кто то портирует, под разные дистры.
2. Скил это даёт, я немного въехал в пыхтон и венв.
3. Не завёлся только блютус.
4. Потому что у меня сервер домашний на фре, пихать туда в виртуалки лянух я не хочу.

"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 12-Мрт-23 09:55 
1. Какая разница? Я то ничего не портирую
2. А, ты начинающий, ну тогда ок
3. Вангую, что с любым железом будут траблы - а надо ещё zigbee свисток прикрутить как минимум
4. Совет - приучайся сначала к прямым решениям, потом сможешь этот опыт монетизировать. Как станешь опытным и взрослым дядей - будет время потыкать маргинальщину для фана
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Ivan_83 , 12-Мрт-23 10:02 
1. Разница в том, что ты пользуешься готовым и думаешь что так и должно быть. При принципу: "электричество берётся из розетки".
3. Зигби работает.
4. Так опыт решения проблем он как раз и монетизируется. У тебя опыт уровня админа, который ставит всё готовое, а у меня разработчика, который допиливает.
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Хм , 13-Мрт-23 01:31 
3. HA работает c Zigbee через serial port, локальный или проброшенный по tcp.
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено 31337 , 12-Мрт-23 10:46 
> Всего чего под коре нет - ставится отдельно.
> ESPHome я тоже портировал, правда оно ещё не годно для выкладывания но работает замечательно.
> Аналогично и прочее что ставит супервизор.

Наколенный софт для сыкотной операционочки. Ня.

> Из того чего не взлетело - блютус, я его просто выпилил чтобы не мешался.

Мы так не договаривались! Впрочем, при наличии сабжа - и фиг с ним если через интернет можно, без авторизации.

> Больше не натыкался ни на какие штуки которые бы ругались что у меня фря.

А как же опеннетчики?

"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 13:10 
Слабое утешение. Какой смысл ломать контейнер, если его можно подменить?
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено VoiD , 11-Мрт-23 12:17 
Это интерфейс ввода/вывода для безумного дома?
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 12:44 
Это то что в будущем будет тобой повелевать.  
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 13:09 
Каким образом пайп для датчиков влажности твоей кошки может кем-то повелевать?
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 13:20 
Ложные срабатывания? Не верные показания? Блокирование дверей?
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 13:33 
Люфт температурного датчика в 1 градус сделает тебя рабом? А при блокировании квартирной двери ты помрёшь от голода? Нет, высота этой логики недостижима до простых смертных.
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено 31337 , 13-Мрт-23 00:48 
> Люфт температурного датчика в 1 градус сделает тебя рабом?

А чего скромничать? Лучше в десяток. Нехай шубу одевает когда там жара. Это пожирней троллинга на опеннете.

> А при блокировании квартирной двери ты помрёшь от голода? Нет, высота этой логики недостижима
> до простых смертных.

От голода не помрет, конечно, но на деньги будет поставлен. И довольно хорошо. А управлять сигналкой лучше всего в 3 часа ночи, чтобы адресат оценил лайфхак по достоинству. И кстати когда он вскочит, офигенная идея вырубить ему свет во всем доме, залочить двери, немнго перенастроить системы... чтоб ему там не скучалось. Прикольно же, теперь можно кому-то понаствившему питоногамна с мобильными приложухами сделать из умного дома полоумный.

"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 13:27 
Вот вот все простачки так говорят, а то потом, да мой хозяин будет сделано мой хозяин.  
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 13:11 
Ожидание: софт повелевает человечеством.
Реальность: "Невозможно запустить приложение из-за нерешенной зависимости. Требуется библиотека obey-127.100.100.90.so, доступно в репозиториях obey-127.100.100.89.so".
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 13:26 
Результат - пост на opennet.ru. Вынужденное или внешнемотивированое действие.
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 11-Мрт-23 13:27 
объясни почему эта железка от тебя чего-то требует если она тобой не повелевает?
"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 12-Мрт-23 10:41 
> Python-окружения на базе Home Assistant Core.

Ну кто б сомневался что питоняши не только нагамнякают, но еще и настолько что даже не смогут рассказать где именно, без того чтобы всех их юзеров не поимели.

"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Аноним , 12-Мрт-23 10:49 
> изменения в обработку токенов и проксируемых запросов,
> а также добавлены фильтры для блокирования подстановки SQL-запросов,
> вставки тега "<script>" и использования путей с "../" и "/./".

Судя по этим изменениям, авторы этой штуки не слышали о том что оказывается внешние данные еще и валидировать надо, оказывается. Так что ее пользователей будет ждать много чудных открытий. Это явно не последние...

"Удалённо эксплуатируемая уязвимость в платформе Home Assista..."
Отправлено Хм , 13-Мрт-23 01:35 
HA изначально не рссчитывался на выставление в инет.