🇰🇷 한글 설명
오픈 소스 홈 자동화 플랫폼인 Home Assistant의 `hassio.addon_stdin` 서비스에서 부분적인 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 공격자가 해당 서비스를 호출할 수 있다면 POST 요청을 통해 Supervisor REST API 엔드포인트를 호출할 수 있으며, 애드온 및 입력 키/값을 포함한 데이터 딕셔너리를 제어할 수 있습니다.
💡 쉬운 설명
스마트 홈 관리 프로그램의 특정 기능에 결함이 있어, 해커가 허가되지 않은 명령을 내려 시스템 설정을 마음대로 바꿀 수 있는 위험이 있습니다. 이를 통해 집안의 스마트 기기 제어 권한을 탈취당할 수 있습니다.
🇺🇸 원문 (English)
Home assistant is an open source home automation. In affected versions the `hassio.addon_stdin` is vulnerable to a partial Server-Side Request Forgery where an attacker capable of calling this service (e.g.: through GHSA-h2jp-7grc-9xpp) may be able to invoke any Supervisor REST API endpoints with a POST request. An attacker able to exploit will be able to control the data dictionary, including its addon and input key/values. This issue has been addressed in version 2023.9.0 and all users are advised to upgrade. There are no known workarounds for this vulnerability. This issue is also tracked as GitHub Security Lab (GHSL) Vulnerability Report: `GHSL-2023-162`.
📍 영향받는 시스템
Home Assistant 2023.9.0 미만 버전
⚔️ 공격 벡터
특정 서비스를 호출할 수 있는 권한을 가진 공격자가 SSRF를 통해 Supervisor REST API에 POST 요청을 전송
🛡️ 대응 방법
Home Assistant를 최신 버전인 2023.9.0 이상으로 즉시 업그레이드하십시오.
🔧 검증 코드
출력된 버전 번호가 2023.9.0보다 낮은지 확인하십시오.
ha --version 2>/dev/null || echo 'Home Assistant CLI not found'