CVE-2026-34205: Home Assistant Supervisor: endpoints sem autenticação expostos à rede local por apps com rede host

Visão geral

Apps do Home Assistant (anteriormente chamados de add-ons) que usam o modo de rede host podem expor endpoints que deveriam ser acessíveis apenas internamente, por meio da interface de bridge do Docker. Segundo o registro, em Linux essa vinculação não restringe o acesso como pretendido, de modo que endpoints que não deveriam ser visíveis ao restante da rede local podem ser alcançados sem autenticação. A fraqueza é classificada como CWE-923 (Restrição Imprópria de Canal de Comunicação para Endpoints Pretendidos).

Impacto

O registro descreve acesso não autenticado a esses endpoints por qualquer dispositivo na mesma rede local.
O vetor CVSS 3.1 do registro (AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) indica acesso a partir de rede adjacente, sem privilégios nem interação do usuário, mudança de escopo e alto impacto em confidencialidade, integridade e disponibilidade. A pontuação 9,6 é fornecida pelo CNA.
O registro não descreve quais dados ou ações os endpoints expostos permitem, portanto as consequências específicas permanecem desconhecidas.

Produtos e versões afetadas

Produto: apps do Home Assistant (anteriormente add-ons) configurados com modo de rede host, executados em Linux, conforme o registro.
O registro não lista intervalos de versões afetadas, e os campos de afetados e correções estão vazios.
A descrição informa que o Home Assistant Supervisor 2026.03.02 resolve o problema. Versões anteriores do Supervisor tendem, portanto, a ser as afetadas, mas o intervalo exato é desconhecido com os dados disponíveis.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS informada é baixa (0,00346, percentil 0,26275), que é uma estimativa estatística e não evidência de exploração.

Correção e mitigação

Atualize o Home Assistant Supervisor para a versão 2026.03.02 ou posterior, conforme indicado no registro.
Revise quais apps usam o modo de rede host e confirme se algum deles está exposto na rede local.
Quando a atualização não for possível de imediato, restrinja o acesso ao segmento de rede local do host, por exemplo por meio de segmentação de rede, para que apenas dispositivos confiáveis alcancem o host do Home Assistant.
Consulte o aviso oficial para orientações completas de correção e eventuais passos adicionais.

Orientações de detecção

Faça o inventário dos apps instalados e identifique os que estão configurados com modo de rede host em sistemas Linux.
Revise registros de rede local ou de firewall em busca de conexões inesperadas a hosts do Home Assistant partindo de dispositivos que não deveriam precisar de acesso.
Verifique a versão do Supervisor instalada em relação à versão corrigida 2026.03.02.

Limitações das informações disponíveis

O registro não tem título, intervalos de versões afetadas, campo de versão corrigida nem nome da CWE.
O registro não descreve os endpoints, as requisições que aceitam nem os dados que expõem.
As fontes consultadas não incluem detalhes técnicos específicos do fornecedor além da referência ao aviso no GitHub.
A data do EPSS no registro é posterior à data de publicação e deve ser interpretada com cautela.

Perguntas frequentes

O que é a CVE-2026-34205?

É uma fraqueza em apps do Home Assistant configurados com modo de rede host. Em Linux, seus endpoints podem ser alcançados sem autenticação por qualquer dispositivo da mesma rede local, segundo o registro.

Qual versão corrige o problema?

O registro informa que o Home Assistant Supervisor 2026.03.02 resolve o problema. O intervalo de versões afetadas não consta no registro.

Esta vulnerabilidade está sendo explorada?

A CVE não aparece no catálogo KEV da CISA no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.