低危 通过 Home Assistant Core 中的 auth_callback 登录进行帐户接管 (CVE-2023-41893)
CVE编号
CVE-2023-41893利用情况
暂无补丁情况
官方补丁披露时间
2023-10-20漏洞描述
Home Assistant是一个开源的家庭自动化系统。审计团队的分析确认，在登录时，`redirect_uri`和`client_id`是可以修改的。因此，用于获取`access_token`的`code`参数将被发送到上述参数指定的URL。由于允许任意URL，并且`homeassistant.local`代表许多用户首选和默认信任的域，攻击者可以利用此漏洞来操纵用户并获取账户访问权限。值得注意的是，如果受害者将其Home Assistant暴露在Internet上，则此攻击策略是可行的，因为在获取受害者的`access_token`之后，攻击者需要直接将其用于实例才能进行任何相关的恶意操作。为了尝试实施此种妥协，攻击者必须向受害者自己的Home Assistant实例发送一个受他们控制的包含`redirect_uri`的链接。如果受害者通过该链接进行身份验证，攻击者将获取发送到`redirect_uri`指定的URL的`code`，然后可以利用该`code`来获取`access_token`。攻击者可以通过注册一个与`homeassistant.local`的域名几乎相同的域名来增加此策略的效力，初看可能看起来合法，从而掩盖任何恶意意图。此问题已在版本2023.9.0中得到解决，建议所有用户进行升级。此漏洞目前没有已知的解决方法。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
参考链接 |
|
|---|---|
| https://github.com/home-assistant/core/security/advisories/GHSA-qhhj-7hrc-gqj5 | |
| https://www.home-assistant.io/blog/2023/10/19/security-audits-of-home-assistant/ |
受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | home-assistant | home-assistant | * | Up to (excluding) 2023.9.0 | |||||
- 攻击路径 本地
- 攻击复杂度 困难
- 权限要求 管控权限
- 影响范围 有限影响
- EXP成熟度 未验证
- 补丁情况 官方补丁
- 数据保密性 无影响
- 数据完整性 无影响
- 服务器危害 无影响
- 全网数量 N/A
| CWE-ID | 漏洞类型 |
| NVD-CWE-noinfo |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论