CVE-2026-64825
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Home Assistant Core przed wersją 2026.6.0 zawiera podatność na przechodzenie po ścieżkach, która pozwala nieuwierzytelnionym atakującym na zapis dowolnych plików w dowolnych katalogach systemu plików hosta poprzez przesłanie spreparowanego archiwum kopii zapasowej podczas początkowego okna konfiguracji. Atakujący mogą manipulować polem 'name' w przesłanym archiwum backup.json, aby podać ścieżkę absolutną, co powoduje, że pathlib.Path.__truediv__ odrzuca skonfigurowany prefiks katalogu kopii zapasowej i zapisuje treść kontrolowaną przez atakującego w dowolnych lokalizacjach, z pełnym dostępem do systemu plików, gdy proces działa jako root.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość całkowitego przejęcia kontroli nad systemem, ponieważ nieuwierzytelniony atakujący może nadpisać krytyczne pliki systemowe, dodać złośliwe skrypty lub zmodyfikować konfigurację, co prowadzi do naruszenia integralności i poufności danych oraz potencjalnego przejęcia hosta.
Rekomendacja
Należy natychmiast zaktualizować Home Assistant Core do wersji 2026.6.0 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy tymczasowo wyłączyć funkcję przywracania kopii zapasowych podczas początkowego okna konfiguracji lub ograniczyć dostęp do interfejsu sieciowego tylko do zaufanych adresów IP.
Oryginalny opis (angielski, źródło NVD)
Home Assistant Core before 2026.6.0 contains a path traversal vulnerability that allows unauthenticated attackers to write arbitrary files to any directory on the host filesystem by uploading a crafted backup archive during the initial onboarding window. Attackers can manipulate the 'name' field inside the uploaded archive's backup.json to supply an absolute path, causing pathlib.Path.__truediv__ to discard the configured backup directory prefix and write attacker-controlled content to arbitrary locations, with full filesystem access when the process runs as root.