🇰🇷 한글 설명
Home Assistant의 Konnected 통합 구성요소에서 KonnectedView HTTP 엔드포인트가 인증 없이 등록되어 있습니다. 쓰기 요청(POST/PUT)은 Bearer 토큰으로 검증되지만, 읽기 요청(GET)을 처리하는 get() 메서드에는 인증 검사가 전혀 없어 인증되지 않은 사용자가 정보를 조회할 수 있습니다. 2026.6.0 버전에서 수정되었습니다.
💡 쉬운 설명
스마트홈 시스템의 일부 기능이 로그인 확인 없이 정보를 읽을 수 있게 열려 있었습니다. 데이터를 바꾸는 요청은 막혀 있었지만 조회는 막혀 있지 않았습니다.
🇺🇸 원문 (English)
Home Assistant is open source home automation software that puts local control and privacy first. Prior to 2026.6.0, the Konnected integration registers an HTTP endpoint, KonnectedView (homeassistant/components/konnected/__init__.py), that is marked as not requiring authentication (requires_auth = False). A comment next to that line says auth is instead handled "via the access token from configuration." That promise is only half true. Write requests (POST and PUT) are handled by update_sensor(), which does check the request's Authorization: Bearer <token> header against the integration's stored access tokens (using hmac.compare_digest). Read requests (GET) are handled by a separate get() method that has no authentication check at all. This vulnerability is fixed in 2026.6.0.
📍 영향받는 시스템
Home Assistant 2026.6.0 미만 버전 (Konnected 통합 구성요소 사용 시)
⚔️ 공격 벡터
네트워크 접근이 가능한 공격자가 인증 헤더 없이 Konnected 엔드포인트에 GET 요청을 보내 센서 등 상태 정보를 조회
🛡️ 대응 방법
Home Assistant를 2026.6.0 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 2026.6.0 미만이면 취약하며, 2026.6.0 이상이면 패치가 적용된 것입니다.
hass --version 2>/dev/null || pip show homeassistant 2>/dev/null | grep -i version