CVE-2024-29019

ESPHome, mikrodenetleyicilerin Ev Otomasyon sistemleri aracılığıyla uzaktan kontrol edilmesini sağlayan bir sistemdir. ESPHome versiyon 2023.12.9'un (komut satırı kurulumu) dashboard bileşenindeki API uç noktaları, uzak saldırganların dashboard'a giriş yapmış bir kullanıcıya karşı saldırılar gerçekleştirerek yapılandırma dosyaları üzerinde işlemler yapmasına (oluşturma, düzenleme, silme) olanak tanıyan Siteler Arası İstek Sahteciliği (CSRF) zafiyetine sahiptir. Kötü niyetli bir aktörün, ESPHome'a karşı siteler arası bir isteği tetikleyen özel olarak hazırlanmış bir web sayfası oluşturması mümkündür; bu durum, platformdaki API çağrıları için kimlik doğrulamanın atlatılmasına izin verir. Bu zafiyet, giriş yapmış bir kullanıcı adına yapılandırma dosyası işlemlerine erişen API çağrılarında kimlik doğrulamanın atlatılmasını sağlar. Zafiyeti tetiklemek için kurbanın silahlandırılmış bir sayfayı ziyaret etmesi gerekir. Buna ek olarak, bu zafiyetin GHSA-9p43-hj5j-96h5 / CVE-2024-27287 ile zincirlenerek kullanıcı hesabının tamamen ele geçirilmesi mümkündür. Versiyon 2024.3.0, bu sorun için bir yama içermektedir.