CVE-2025-25305

Home Assistant Core yerli idarəetməni və məxfiliyi ön plana çıxaran açıq mənbəli ev avtomatlaşdırma sistemidir. Təsirə məruz qalan versiyalar layihənin kod bazasında və istifadə olunan üçüncü tərəf kitabxanalarında SSL sertifikatının yoxlanılmasının çatışmazlığı səbəbindən potensial "man-in-the-middle" hücumlarına məruz qala bilər. Keçmişdə `aiohttp-session`/`request` komponentində SSL sertifikatı yoxlamasını idarə etmək üçün `verify_ssl` parametri mövcud idi. Bu, boolean dəyəri idi. `aiohttp` 3.0 versiyasında bu parametr `ssl` parametrinə üstünlük verilərək ləğv edildi. Standart SSL sertifikatı yoxlaması yalnız `ssl` parametri `None` təyin edildikdə və ya düzgün konfiqurasiya edilmiş SSL konteksti təmin edildikdə baş verir. Home Assistant inteqrasiyaları və Home Assistant tərəfindən istifadə olunan kitabxanaların miqrasiyası zamanı bəzi hallarda `verify_ssl` parametrinin dəyəri sadəcə yeni `ssl` parametrini köçürülmüşdür. Bu, həmin inteqrasiyaların və üçüncü tərəf kitabxanalarının `request.ssl = True` istifadə etməsinə səbəb olmuşdur ki, bu da qeyri-ixtiyari şəkildə SSL sertifikatı yoxlamasını söndürmüş və "man-in-the-middle" hücum vektorunu açmışdır. Bu problem 2024.1.6 versiyasında aradan qaldırılmışdır və bütün istifadəçilərə yeniləmə etmək tövsiyə olunur. Bu zəiflik üçün məlum olan heç bir alternativ həll yolu yoxdur.