プラットフォーム
python
コンポーネント
esphome
修正版
2023.12.10
2024.2.1
ESPHomeのバージョン2024.2.0b3以前に、ダッシュボードコンポーネントの編集設定ファイルAPIにおいてセキュリティ設定の不備が見つかりました。この脆弱性により、認証されたリモート攻撃者は設定ディレクトリ内の任意のファイルを読み書きすることが可能となり、リモートコード実行のリスクが生じます。ESPHomeのバージョン2024.2.1でこの問題が修正されました。
この脆弱性は、攻撃者がESPHomeの設定ファイルを不正に操作することを可能にします。これにより、デバイスの動作を制御したり、機密情報を盗み出したり、悪意のあるコードを実行したりする可能性があります。特に、コマンドラインインストール環境では、攻撃者は設定ディレクトリ内のファイルを自由に読み書きできるため、システムへの影響が大きくなります。この脆弱性の悪用により、デバイスの制御権を奪われ、ネットワーク全体に影響が及ぶ可能性があります。
この脆弱性は、2024年3月1日に公開されました。現時点では、公的なPoCは確認されていませんが、脆弱性の内容から、攻撃者による悪用が懸念されます。CISAのKEVリストへの登録状況は不明です。NVDデータベースも参照し、最新の情報を確認することをお勧めします。
Home users and small businesses utilizing ESPHome for home automation are particularly at risk. Individuals relying on ESPHome for critical functions, such as security systems or environmental controls, face a heightened level of exposure. Shared hosting environments where ESPHome is deployed could also be impacted, potentially affecting multiple users.
• linux / server:
journalctl -u esphome -f | grep -i "path traversal"• generic web:
curl -I 'http://<esphome_ip>/api/edit_config?file=../../../../etc/passwd' # Attempt path traversal• generic web:
curl -I 'http://<esphome_ip>/api/edit_config?file=/etc/passwd' # Attempt path traversaldisclosure
エクスプロイト状況
EPSS
4.46% (89% パーセンタイル)
CVSS ベクトル
この脆弱性への対応策として、ESPHomeをバージョン2024.2.1以降にアップデートすることを推奨します。アップデートできない場合は、設定ファイルのアクセス権を制限し、不要なファイルの書き込みを禁止するなどの対策を講じることが有効です。また、WAFやIPSなどのセキュリティ機器を導入し、不正なアクセスを検知・遮断することも有効な手段となります。アップデート後、設定ファイルへのアクセス権が適切に設定されていることを確認してください。
Actualice ESPHome a la versión 2024.2.1 o posterior. Esto corrige la vulnerabilidad de escritura arbitraria de archivos en el componente del panel de control. La actualización se puede realizar a través de la interfaz de línea de comandos o mediante la actualización del sistema.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2024-27081は、ESPHomeのバージョン2024.2.0b3以前におけるリモートコード実行(RCE)脆弱性です。認証された攻撃者が設定ファイルを操作し、リモートコードを実行できる可能性があります。
ESPHomeのバージョンが2024.2.0b3以前を使用している場合、影響を受けます。バージョン2024.2.1以降にアップデートすることで、この脆弱性を解消できます。
ESPHomeをバージョン2024.2.1以降にアップデートしてください。アップデートできない場合は、設定ファイルのアクセス権を制限するなどの対策を講じてください。
現時点では公的なPoCは確認されていませんが、脆弱性の内容から、攻撃者による悪用が懸念されます。最新の情報を常に確認するようにしてください。
ESPHomeの公式ウェブサイトまたはGitHubリポジトリで、CVE-2024-27081に関するアドバイザリをご確認ください。
requirements.txt ファイルをアップロードすると、影響の有無を即座にお知らせします。