ESPHome vulnerable a la ejecución remota de código a través de la escritura arbitraria de archivos

Un atacante autenticado puede explotar esta vulnerabilidad de recorrido de directorio (path traversal) para leer y escribir archivos arbitrarios dentro del directorio de configuración de ESPHome. Esto permite la modificación de archivos de configuración críticos, la inyección de código malicioso y, en última instancia, la ejecución remota de código en el dispositivo ESPHome. La severidad de esta vulnerabilidad es alta debido a su potencial para comprometer completamente el dispositivo y la red a la que está conectado. La capacidad de leer y escribir archivos arbitrarios abre la puerta a la manipulación de la lógica del dispositivo, la exfiltración de datos sensibles y el establecimiento de una puerta trasera persistente.

Home users and small businesses utilizing ESPHome for home automation are particularly at risk. Individuals relying on ESPHome for critical functions, such as security systems or environmental controls, face a heightened level of exposure. Shared hosting environments where ESPHome is deployed could also be impacted, potentially affecting multiple users.

• linux / server:

journalctl -u esphome -f | grep -i "path traversal"

• generic web:

curl -I 'http://<esphome_ip>/api/edit_config?file=../../../../etc/passwd' # Attempt path traversal

• generic web:

curl -I 'http://<esphome_ip>/api/edit_config?file=/etc/passwd' # Attempt path traversal

1. 2024-03-01Disclosure

   disclosure

1. Reservado2024-02-19
2. Publicada2024-03-01
3. Modificada2025-02-07
4. EPSS actualizado2026-04-02

La solución principal es actualizar a la versión 2024.2.1 de ESPHome, que corrige esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda restringir el acceso a la API de edición de archivos de configuración solo a usuarios confiables. Además, se pueden implementar reglas en un firewall o proxy para bloquear el acceso no autorizado a la API. Monitorear los registros del sistema en busca de intentos de acceso inusuales o modificaciones de archivos sospechosas también puede ayudar a detectar y prevenir ataques. Si se sospecha de una intrusión, se recomienda realizar un análisis forense del sistema para identificar y eliminar cualquier código malicioso.