CVE-2025-25305

Home Assistant Core, yerel kontrolü ve gizliliği ön planda tutan açık kaynaklı bir ev otomasyon sistemidir. Etkilenen sürümler, proje kod tabanında ve kullanılan üçüncü taraf kütüphanelerde eksik SSL sertifikası doğrulaması nedeniyle potansiyel ortadaki adam (man-in-the-middle) saldırılarına maruz kalmaktadır. Geçmişte, `aiohttp-session`/`request` bileşenleri SSL sertifika doğrulamasını kontrol etmek için `verify_ssl` parametresine sahipti; bu değer bir boolean değildi. `aiohttp` 3.0 sürümünde, bu parametre `ssl` parametresi lehine kullanımdan kaldırılmıştır. Standart SSL sertifika doğrulaması yalnızca `ssl` değeri `None` olarak ayarlandığında veya doğru yapılandırılmış bir SSL bağlamı sağlandığında gerçekleşir. Home Assistant entegrasyonları ve Home Assistant tarafından kullanılan kütüphanelerin taşınması sırasında, bazı durumlarda `verify_ssl` parametre değeri doğrudan yeni `ssl` parametresine aktarılmıştır. Bu durum, söz konusu entegrasyonların ve 3. taraf kütüphanelerin `request.ssl = True` şeklinde kullanımına yol açmış, bu da istemeden SSL sertifika doğrulamasını kapatarak bir ortadaki adam saldırı vektörü oluşturmuştur. Bu sorun 2024.1.6 sürümünde giderilmiştir ve tüm kullanıcıların yükseltme yapmaları önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm bulunmamaktadır.