CVE-2023-41893

Home Assistant açık kaynaklı bir ev otomasyonudur. Denetim ekibinin analizleri, giriş yapılırken `redirect_uri` ve `client_id` parametrelerinin değiştirilebilir olduğunu doğrulamıştır. Sonuç olarak, kimlik doğrulama sonrası `access_token` almak için kullanılan code parametresi, söz konusu parametrelerde belirtilen URL'ye gönderilecektir. Keyfi bir URL'ye izin verildiği ve `homeassistant.local` birçok kullanıcı tarafından muhtemelen kullanılan ve güvenilen tercih edilen varsayılan alan adını temsil ettiği için, bir saldırgan bu zafiyeti kullanarak bir kullanıcıyı manipüle edebilir ve hesap erişimi elde edebilir. Özellikle, kurbanın Home Assistant örneğini internete açmış olması durumunda bu saldırı stratejisi olasıdır; çünkü saldırgan, kurbanın `access_token` bilgisini ele geçirdikten sonra herhangi bir kötü niyetli eylem gerçekleştirmek için bunu doğrudan ilgili örneğe karşı kullanması gerekecektir. Bu ihlal girişimini gerçekleştirmek için saldırganın, kontrol ettiği bir `redirect_uri` içeren bağlantıyı kurbanın kendi Home Assistant örneğine göndermesi gerekir. Kurbanın söz konusu bağlantı üzerinden kimlik doğrulaması yapması durumunda saldırgan, `redirect_uri` içinde belirtilen URL'ye gönderilen kodu elde edecek ve bu kod daha sonra bir `access_token` almak için kullanılabilecektir. Ayrıca bir saldırgan, ilk bakışta meşru görünebilecek ve böylece kötü niyetlerini gizleyebilecek, `homeassistant.local` ile neredeyse aynı olan bir alan adı kaydederek bu stratejinin etkinliğini artırabilir. Bu sorun 2023.9.0 versiyonunda giderilmiştir ve tüm kullanıcıların yükseltme yapmaları önerilir. Bu zafiyet için bilinen bir geçici çözüm yoktur.