Plataforma
python
Componente
esphome
Corrigido em
2023.12.10
2024.2.1
Uma vulnerabilidade de Execução Remota de Código (RCE) foi descoberta no componente de painel do ESPHome, especificamente na API de configuração de arquivos. Essa falha de segurança, presente em versões até 2024.2.0b3, permite que atacantes autenticados leiam e escrevam arquivos arbitrários no diretório de configuração, abrindo caminho para a execução remota de código. A correção para esta vulnerabilidade está disponível na versão 2024.2.1.
A exploração bem-sucedida desta vulnerabilidade permite que um atacante autenticado obtenha acesso não autorizado ao sistema ESPHome. Ao poder ler e escrever arquivos no diretório de configuração, o atacante pode modificar as configurações do dispositivo, injetar código malicioso e, potencialmente, assumir o controle completo do dispositivo ESPHome. Isso pode levar a comprometimento de dados, interrupção do serviço e acesso a outros dispositivos na rede. A capacidade de executar código remotamente representa um risco significativo, especialmente em ambientes onde os dispositivos ESPHome são usados para automação residencial ou controle industrial.
Esta vulnerabilidade foi divulgada em 01 de março de 2024. Não há informações disponíveis sobre exploração ativa ou inclusão no KEV (CISA Known Exploited Vulnerabilities) no momento da redação. A existência de uma vulnerabilidade de RCE com acesso autenticado sugere um risco potencial, especialmente em ambientes com configurações de segurança inadequadas. A ausência de um PoC público amplamente divulgado pode indicar um nível de dificuldade de exploração maior.
Home users and small businesses utilizing ESPHome for home automation are particularly at risk. Individuals relying on ESPHome for critical functions, such as security systems or environmental controls, face a heightened level of exposure. Shared hosting environments where ESPHome is deployed could also be impacted, potentially affecting multiple users.
• linux / server:
journalctl -u esphome -f | grep -i "path traversal"• generic web:
curl -I 'http://<esphome_ip>/api/edit_config?file=../../../../etc/passwd' # Attempt path traversal• generic web:
curl -I 'http://<esphome_ip>/api/edit_config?file=/etc/passwd' # Attempt path traversaldisclosure
Status do Exploit
EPSS
4.46% (percentil 89%)
Vetor CVSS
A mitigação primária para esta vulnerabilidade é atualizar para a versão 2024.2.1 do ESPHome, que inclui a correção. Se a atualização imediata não for possível, considere restringir o acesso à API de configuração de arquivos apenas a usuários confiáveis. Implementar regras de firewall para bloquear o acesso externo à API também pode ajudar a reduzir o risco. Monitore os logs do sistema em busca de atividades suspeitas, como tentativas de acesso não autorizado ou modificações inesperadas nos arquivos de configuração. Após a atualização, confirme a correção verificando a versão instalada do ESPHome e testando o acesso à API de configuração de arquivos.
Actualice ESPHome a la versión 2024.2.1 o posterior. Esto corrige la vulnerabilidad de escritura arbitraria de archivos en el componente del panel de control. La actualización se puede realizar a través de la interfaz de línea de comandos o mediante la actualización del sistema.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2024-27081 is a Remote Code Execution vulnerability in the ESPHome dashboard, allowing attackers to potentially execute code on the device.
You are affected if you are using ESPHome versions 2024.2.0b3 or earlier. Upgrade to 2024.2.1 or later to mitigate the risk.
Upgrade ESPHome to version 2024.2.1 or later. This resolves the path traversal vulnerability.
While no active exploitation campaigns have been confirmed, the vulnerability's ease of exploitation raises concerns about potential abuse.
Refer to the official ESPHome security advisory for detailed information and updates: [https://esphome.io/security.html](https://esphome.io/security.html)
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Envie seu arquivo requirements.txt e descubra na hora se você está afetado.