🇰🇷 한글 설명
오픈 소스 홈 자동화 도구인 Home Assistant에서 Supervisor API에 대한 인증을 우회할 수 있는 원격 공격 취약점이 발견되었습니다. 이 취약점은 Supervisor 2023.01.1 이하 버전을 사용하는 모든 설치 유형에 영향을 미칩니다.
💡 쉬운 설명
집안의 스마트 기기를 제어하는 프로그램의 보안 구멍을 통해 해커가 아무런 로그인 없이 관리자 권한을 얻을 수 있는 위험한 상태입니다. 이를 방치하면 해커가 집안의 스마트 기기를 마음대로 조작할 수 있습니다.
🇺🇸 원문 (English)
homeassistant is an open source home automation tool. A remotely exploitable vulnerability bypassing authentication for accessing the Supervisor API through Home Assistant has been discovered. This impacts all Home Assistant installation types that use the Supervisor 2023.01.1 or older. Installation types, like Home Assistant Container (for example Docker), or Home Assistant Core manually in a Python environment, are not affected. The issue has been mitigated and closed in Supervisor version 2023.03.1, which has been rolled out to all affected installations via the auto-update feature of the Supervisor. This rollout has been completed at the time of publication of this advisory. Home Assistant Core 2023.3.0 included mitigation for this vulnerability. Upgrading to at least that version is thus advised. In case one is not able to upgrade the Home Assistant Supervisor or the Home Assistant Core application at this time, it is advised to not expose your Home Assistant instance to the internet.
📍 영향받는 시스템
Home Assistant Supervisor 2023.01.1 이하 버전 (Container 및 Core 설치형 제외)
⚔️ 공격 벡터
인증 과정을 거치지 않고 원격에서 Supervisor API에 직접 접근하여 권한을 탈취하는 방식
🛡️ 대응 방법
Supervisor를 2023.03.1 이상 버전으로, 또는 Home Assistant Core를 2023.3.0 이상 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 Supervisor 2023.03.1 또는 Home Assistant Core 2023.3.0보다 낮은지 확인하십시오.
curl -s http://localhost:8123/api/ | grep -i 'version' || echo 'Check Supervisor version manually'