🇰🇷 한글 설명
Home Assistant 2026.5.3 이전 버전에서 LocationSensorManager BroadcastReceiver가 권한 검증 없이 외부에 노출되어 있습니다. 설치된 임의의 앱이 Google Play Services의 LocationResult를 위조하여 전송할 수 있으며, 수신기는 이를 실제 기기 위치로 신뢰해 Home Assistant 서버에 전달합니다. 이로 인해 위치 기반 자동화(문 잠금 해제, 알람 해제, 차고 문 열기)가 조작될 수 있습니다.
💡 쉬운 설명
스마트폰에 설치된 다른 악성 앱이 가짜 GPS 위치를 보내 집의 스마트 기기를 원격으로 조작할 수 있습니다. 2026.5.3 버전에서 이 취약점이 수정되었습니다.
🇺🇸 원문 (English)
Home Assistant is open source home automation software that puts local control and privacy first. Prior to 2026.5.3, the LocationSensorManager BroadcastReceiver is exported with no permission. Any installed app, with zero runtime permissions, can broadcast a forged Google Play Services LocationResult directly to it; the receiver trusts the extra and forwards it to the user's Home Assistant server as the device's real location. This bypasses Android's developer-mode "Mock Location" gate and allows a local malicious app to drive zone-based automations (unlock door / disarm alarm / open garage) by faking the user's GPS position. This vulnerability is fixed in 2026.5.3.
📍 영향받는 시스템
Home Assistant Android 앱 2026.5.3 이전 버전
⚔️ 공격 벡터
권한이 없는 로컬 악성 앱이 위조된 LocationResult 브로드캐스트를 노출된 리시버로 전송하여 위치를 조작
🛡️ 대응 방법
Home Assistant Android 앱을 2026.5.3 이상으로 업데이트
🔧 검증 코드
출력된 versionName이 2026.5.3 이상이면 패치가 적용된 것이고, 미만이면 즉시 업데이트가 필요합니다.
dumpsys package io.homeassistant.companion.android 2>/dev/null | grep -E 'versionName'