🇰🇷 한글 설명
Home Assistant Android Companion 앱의 2026.6.1 미만 버전에서 오픈 리다이렉트 취약점이 발견되었습니다. 공격자는 딥링크를 조작하여 사용자가 정당한 초대 링크를 클릭했을 때 가짜 로그인 페이지로 유도함으로써 계정 자격 증명을 탈취할 수 있습니다.
💡 쉬운 설명
정상적인 초대 버튼을 눌렀을 때 눈에 보이지 않는 방식으로 가짜 로그인 화면이 나타날 수 있는 보안 결함입니다. 이를 통해 해커가 사용자의 아이디와 비밀번호를 훔쳐갈 위험이 있습니다.
🇺🇸 원문 (English)
Home Assistant is open source home automation software focused on local control and privacy. Prior to 2026.6.1, the Android Companion app is vulnerable to an open redirect. The app passes the URL fragment from a homeassistant://invite deep link into the onboarding flow without ever displaying the destination hostname. Because no screen in the invitation or onboarding flow shows the parsed server URL before onboarding commits to it, a victim has no way to distinguish a legitimate invite from a malicious one. An attacker can craft an invite so that a single tap on the legitimate-looking "Connect to my Home Assistant server" button opens their /auth/authorize endpoint in the URL-less onboarding WebView, presenting a look-alike login page that captures the victim's credentials. Since invitations are intended to onboard brand-new users, targets are especially unlikely to notice the substitution. This issue is fixed in version 2026.6.1.
📍 영향받는 시스템
Home Assistant Android Companion app (version < 2026.6.1)
⚔️ 공격 벡터
조작된 homeassistant://invite 딥링크를 통한 오픈 리다이렉트 및 피싱 페이지 유도
🛡️ 대응 방법
Android Companion 앱을 2026.6.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 versionName이 2026.6.1보다 낮은지 확인하십시오.
adb shell dumpsys package io.homeassistant.companion | grep -E 'versionName'