ESPHome 存在通过任意文件写入远程代码执行漏洞

该漏洞的潜在影响非常严重。攻击者可以利用此漏洞在受影响的 ESPHome 设备上执行任意代码，从而完全控制设备。这可能导致设备被恶意软件感染、数据泄露、网络攻击以及其他严重的安全事件。由于 ESPHome 设备通常用于家庭自动化和物联网应用，攻击者可能能够访问敏感信息，例如家庭网络凭据、监控录像等。此外，攻击者还可以利用受感染的设备作为跳板，攻击内部网络中的其他设备，扩大攻击范围。

Home users and small businesses utilizing ESPHome for home automation are particularly at risk. Individuals relying on ESPHome for critical functions, such as security systems or environmental controls, face a heightened level of exposure. Shared hosting environments where ESPHome is deployed could also be impacted, potentially affecting multiple users.

• linux / server:

journalctl -u esphome -f | grep -i "path traversal"

• generic web:

curl -I 'http://<esphome_ip>/api/edit_config?file=../../../../etc/passwd' # Attempt path traversal

• generic web:

curl -I 'http://<esphome_ip>/api/edit_config?file=/etc/passwd' # Attempt path traversal

1. 2024-03-01Disclosure

   disclosure

1. 已保留2024-02-19
2. 发布日期2024-03-01
3. 修改日期2025-02-07
4. EPSS 更新日期2026-04-02

最有效的缓解措施是立即将 ESPHome 升级至 2024.2.1 或更高版本。如果升级导致系统不稳定，可以考虑回滚到之前的稳定版本，但请注意这只是临时解决方案。对于无法立即升级的系统，可以尝试限制对 dashboard 组件的访问，并确保所有用户都使用强密码。此外，建议使用防火墙或代理服务器来限制对 ESPHome 设备的外部访问，并定期审查配置文件的权限设置。升级后，请验证新版本是否已成功安装，并检查设备日志是否存在异常活动。