Home Assistant Command-line Interface: Tratamento de modelos Jinja2 fornecidos pelo usuário

A exploração bem-sucedida desta vulnerabilidade permite que um atacante execute código arbitrário no sistema onde o Home Assistant Command-line interface está sendo executado. Isso pode levar ao comprometimento completo do sistema, permitindo o acesso não autorizado a dados confidenciais, a instalação de malware e a execução de comandos com os privilégios do usuário que executa o hass-cli. O atacante pode, por exemplo, usar a vulnerabilidade para obter acesso a informações de configuração do Home Assistant, dados de sensores e outros dispositivos conectados à rede. A falta de sandboxing dos templates Jinja2 amplia significativamente o escopo da exploração, permitindo o acesso a funcionalidades internas do Python.

Home Assistant users who are running versions of hass-cli prior to 1.0.0, particularly those who allow users to provide custom templates or scripts to the CLI tool, are at significant risk. Shared hosting environments where multiple users have access to the hass-cli tool are also vulnerable.

• linux / server:

ps aux | grep 'hass-cli template' | grep -i 'environ.__globals__'

• python / supply-chain:

import os
import subprocess

# Example of a malicious template execution (DO NOT RUN)
subprocess.run(['echo', 'Malicious code executed!'], shell=True)

• generic web: Inspect Home Assistant logs for any errors or unusual activity related to template rendering or Python execution.

1. 2026-04-21Disclosure

   disclosure

1. Reservado2026-04-14
2. Publicada2026-04-21
3. EPSS atualizado2026-04-29

A mitigação primária para CVE-2026-40602 é a atualização imediata para a versão 1.0.0 do Home Assistant Command-line interface. Se a atualização imediata não for possível devido a problemas de compatibilidade, considere restringir o acesso ao hass-cli apenas a usuários confiáveis. Além disso, revise os templates Jinja2 em uso para identificar e remover qualquer código potencialmente malicioso. Embora não haja uma regra WAF específica para esta vulnerabilidade, a implementação de regras gerais de validação de entrada e sanitização de templates pode ajudar a mitigar o risco. A verificação após a atualização deve ser feita executando hass-cli template --help para confirmar que a versão atualizada está sendo utilizada.