🇰🇷 한글 설명
Home Assistant의 iOS 컴패니언 앱은 2025.5.0 이전 버전에서 내부 네트워크에 대한 SSID 허용 목록을 무시합니다. 다른 URL을 찾지 못하면 내부 URL로 폴백하여, 안전하지 않은 네트워크에 연결된 상태에서 사용자의 토큰이 노출될 수 있습니다. 이 취약점은 2025.5.0에서 수정되었습니다.
💡 쉬운 설명
Home Assistant 아이폰 앱이 신뢰하지 않는 와이파이에 연결되었을 때도 집 내부 주소로 접속을 시도할 수 있습니다. 이 과정에서 로그인 토큰이 외부에 노출될 수 있습니다.
🇺🇸 원문 (English)
Home Assistant is open source home automation software that puts local control and privacy first. Prior to 2025.5.0, The iOS companion app ignores the SSID allowlist for internal networks. The app uses SSID to detect when to use the internal URL, but whenever the app cannot find any other URL to be used, it fallbacks to the internal URL as well, which can expose user's token when connected to a not secure network. This vulnerability is fixed in 2025.5.0.
📍 영향받는 시스템
Home Assistant iOS 컴패니언 앱 2025.5.0 미만 버전
⚔️ 공격 벡터
공격자가 같은 공공 와이파이 등 안전하지 않은 네트워크에서 트래픽을 가로채 앱이 보내는 내부 URL 요청과 토큰을 탈취합니다.
🛡️ 대응 방법
Home Assistant iOS 컴패니언 앱을 2025.5.0 이상으로 업데이트합니다.
🔧 검증 코드
macOS 등에서 출력된 값으로 버전을 확인하거나, iOS는 설정 > 일반 > 정보에서 앱 버전이 2025.5.0 이상인지 확인합니다. 미만이면 업데이트가 필요합니다.
defaults read "$HOME/Library/Preferences/io.robbie.HomeAssistant.plist" 2>/dev/null || echo "iOS 앱은 기기 설정 화면에서 앱 버전을 직접 확인하세요"