CVE-2026-64825: Home Assistant Core: travessia de diretório com gravação de arquivos via upload de backup
O Home Assistant Core anterior à 2026.6.0 possui uma falha de travessia de diretório (CWE-22) no tratamento de uploads de backup, que pode permitir que um atacante não autenticado grave arquivos fora do diretório de backup previsto durante a janela inicial de integração. O registro informa pontuação base CVSS 9.3 atribuída pela VulnCheck, e o impacto é maior quando o processo é executado como root. As fontes consultadas não mostram exploração confirmada na natureza.
Visão geral
O CVE-2026-64825 é uma fraqueza de travessia de diretório (CWE-22) no Home Assistant Core. O registro descreve versões anteriores à 2026.6.0 e permite gravação de arquivos fora do diretório de backup configurado por meio de um arquivo de backup elaborado enviado durante a integração inicial.
Impacto
- O registro descreve gravação arbitrária de arquivos em locais do sistema de arquivos do host.
- O registro informa que o impacto é maior quando o processo é executado como root, o que daria acesso total ao sistema de arquivos.
- A pontuação base CVSS 3.1 atribuída pela VulnCheck é 9.3, com impacto de integridade alto e de disponibilidade baixo. O impacto de confidencialidade consta como nulo.
- Os dados SSVC do registro indicam automatizável como sim e impacto técnico como parcial.
Produtos e versões afetados
- Produto: Home Assistant Core.
- Faixa afetada no registro: anterior à 2026.6.0.
- O registro associa 2026.6.0 às notas de versão e ao commit referenciados.
Status de exploração
O catálogo KEV da CISA não lista este CVE no registro. O campo de exploração SSVC está como nenhum e a probabilidade EPSS é 0.0058. Não há exploração confirmada nas fontes consultadas.
Correção e mitigação
- Atualize o Home Assistant Core para a 2026.6.0 ou posterior, pois a faixa afetada termina antes dessa versão.
- Revise as notas de versão e o commit de correção referenciados para confirmar as alterações antes da implantação.
- Até a atualização, limite a exposição da interface de integração e evite executar o processo com privilégios de root, que o registro identifica como fator de aumento do impacto.
- Verifique se algum arquivo de backup foi aceito durante a integração em instalações expostas.
Orientações de detecção
- Revise logs e alterações no sistema de arquivos no período de integração em busca de arquivos inesperados gravados fora do diretório de backup.
- Monitore a criação de novos arquivos em caminhos sensíveis do sistema em hosts com Home Assistant Core.
- Confirme a versão instalada em relação à faixa afetada.
Limitações das informações disponíveis
- O registro não contém campo de versão corrigida; a versão de correção é inferida a partir da faixa afetada e da tag de release.
- O registro não descreve as condições exatas da janela de integração nem se ela permanece aberta após a configuração.
- O status no NVD consta como Deferred nos dados de origem, portanto a entrada no NVD pode mudar.
- Não são incluídas aqui provas de conceito nem informações detalhadas de exploração, por decisão de segurança.
Perguntas frequentes
Quais versões do Home Assistant Core são afetadas pelo CVE-2026-64825?
O registro lista versões do Home Assistant Core anteriores à 2026.6.0 como afetadas.
Essa vulnerabilidade é explorada na natureza?
O catálogo KEV da CISA não lista este CVE no registro, e não há exploração confirmada nas fontes consultadas.
O que os administradores devem fazer primeiro?
Planeje a atualização para a 2026.6.0 ou posterior, revise as notas de versão referenciadas e reduza a exposição da interface de integração até concluir a atualização.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.