CVE-2026-64824
WysokieCVSS 8.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Podatność typu path traversal w funkcji przywracania kopii zapasowej Home Assistant Core przed wersją 2026.7.0 umożliwia atakującym zapis plików do dowolnych ścieżek bezwzględnych poprzez dostarczenie spreparowanego archiwum tar z wpisem SYMTYPE. Ze względu na uruchamianie procesu jako root w oficjalnym obrazie Docker, atakujący mogą uzyskać zdalne wykonanie kodu poprzez nadpisanie autoimportowanych ścieżek Pythona, takich jak site-packages/sitecustomize.py.
Ocena ryzyka
Ryzyko dla organizacji obejmuje całkowite przejęcie kontroli nad systemem Home Assistant, co może prowadzić do kradzieży danych, szpiegostwa lub dalszych ataków na infrastrukturę IoT.
Rekomendacja
Należy natychmiast zaktualizować Home Assistant Core do wersji 2026.7.0 lub nowszej oraz rozważyć uruchamianie procesu z ograniczonymi uprawnieniami (nie jako root) w środowisku Docker.
Inne podatności w Home Assistant Core
Zobacz wszystkie- CVE-2026-64825Krytyczne
Home Assistant Core przed wersją 2026.6.0 zawiera podatność na przechodzenie po ścieżkach, która pozwala nieuwierzytelnionym atakującym na zapis dowolnych plików w dowolnych katalogach systemu plików hosta poprzez przesłanie spreparowanego archiwum kopii zapasowej podczas początkowego okna konfiguracji. Atakujący mogą manipulować polem 'name' w przesłanym archiwum backup.json, aby podać ścieżkę absolutną, co powoduje, że pathlib.Path.__truediv__ odrzuca skonfigurowany prefiks katalogu kopii zapasowej i zapisuje treść kontrolowaną przez atakującego w dowolnych lokalizacjach, z pełnym dostępem do systemu plików, gdy proces działa jako root.
- CVE-2026-64823Średnie
Home Assistant Core przed wersją 2026.5.4 zawiera podatność na cross-site scripting (XSS) w metodzie `async_get_media_image()` integracji Shelly. Atakujący kontrolujący pole `thumb` urządzenia Shelly może dostarczyć dowolną treść HTML, używając data URI z typem `text/html`, bez walidacji względem dozwolonych tylko obrazów. Pozwala to na kradzież tokenów sesji i wykonywanie uwierzytelnionych wywołań do wrażliwych punktów końcowych, takich jak blokady, alarmy i osłony.
Oryginalny opis (angielski, źródło NVD)
Home Assistant Core before 2026.7.0 contains a path traversal vulnerability in the backup-restore function that allows attackers to write files to arbitrary absolute filesystem paths by supplying a crafted tar archive with a SYMTYPE entry containing a benign member name paired with an absolute linkname pointing outside the extraction directory. Because the official Docker image runs the Home Assistant process as root and the subsequent regular-file entry is written through the unvalidated symlink, attackers can achieve remote code execution by overwriting auto-imported Python paths such as site-packages/sitecustomize.py or custom component directories.