openHABのCometVisu BackendにSSRF/XSSの影響

このSSRF脆弱性を悪用されると、攻撃者はopenHABが公開されているネットワーク内の内部サーバーに不正なアクセスを試みることができます。例えば、データベースサーバー、管理コンソール、または機密情報を含む他のサービスへのアクセスを試みる可能性があります。さらに、XSS攻撃に悪用されると、攻撃者は悪意のあるスクリプトをopenHABのWebインターフェースに挿入し、ユーザーのセッションを乗っ取ったり、機密情報を盗み出したりする可能性があります。この脆弱性は、openHABがインターネットに直接公開されている場合、特に深刻な影響を及ぼします。攻撃者は、内部ネットワークへの侵入経路としてopenHABを利用する可能性があります。

Organizations deploying openHAB in non-private networks, particularly those with sensitive internal services, are at significant risk. Environments with legacy openHAB configurations or those relying on shared hosting services are also particularly vulnerable, as they may have limited control over network access and security settings.

• linux / server:

journalctl -u openhab -g "cometvisu proxy endpoint"

• generic web:

curl -I http://<openhab_ip>/cometvisu/proxy?url=<internal_resource>

Check the response headers for unexpected redirects or server responses indicating access to internal resources. • generic web: Grep access logs for requests to the /cometvisu/proxy endpoint with unusual or internal URLs.

1. 2024-08-09Disclosure

   disclosure

1. 予約済み2024-08-02
2. 公開日2024-08-09
3. 更新日2024-08-12
4. EPSS 更新日2026-04-02

この脆弱性への最善の対応は、openHABをバージョン4.2.1以降にアップデートすることです。アップデートがすぐに利用できない場合は、openHABが公開されていないネットワークに配置するか、ファイアウォールでプロキシエンドポイントへの外部からのアクセスを遮断することを検討してください。Web Application Firewall (WAF) を使用して、悪意のあるリクエストをフィルタリングすることも有効です。また、openHABのログを監視し、異常なHTTPリクエストを検出するためのルールを実装することも重要です。アップデート後、openHABのコンポーネントが正常に動作していることを確認してください。