CVE-2024-29019

ESPHome mikrokontrollerləri Ev Avtomatlaşdırma sistemləri vasitəsilə uzaqdan idarə etmək üçün nəzərdə tutulmuş bir sistemdir. ESPHome versiya 2023.12.9-un (komanda sətri quraşdırılması) dashboard komponentindəki API son nöqtələri Saytlararası Sorğu Saxtakarlığına (CSRF) qarşı həssasdır və bu, uzaqdakı hücumçulara dashboard-da daxil olmuş istifadəçiyə qarşı hücumlar təşkil edərək konfiqurasiya faylları üzərində əməliyyatlar (yaratmaq, redaktə etmək, silmək) yerinə yetirməyə imkan verir. Bədniyyətli şəxs ESPHome-a qarşı saytlararası sorğunu tetikləyən xüsusi hazırlanmış veb səhifə yarada bilər ki, bu da platformadakı API çağırışları üçün autentifikasiyadan yan keçməyə imkan verir. Bu zəiflik, daxil olmuş istifadəçi adından konfiqurasiya faylı əməliyyatlarına giriş edən API çağırışlarında autentifikasiyadan yan keçməyə şərait yaradır. Zəifliyi aktivləşdirmək üçün qurban zərərli səhifəyə daxil olmalıdır. Bundan əlavə, istifadəçi hesabını tamamilə ələ keçirmək üçün bu zəifliyi GHSA-9p43-hj5j-96h5 / CVE-2024-27287 ilə birləşdirmək mümkündür. Versiya 2024.3.0 bu problem üçün düzəliş ehtiva edir.