🔴 【深度分析】严重安全漏洞：CVE-2026-64825

CVSS 评分: 严重（9.0）🔴　　状态: Deferred　　发布时间: 2026-07-21

🔍 技术细节速览

字段 值
CVE ID CVE-2026-64825
CVSS 评分 9.0 🔴
严重程度 严重
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:L/SC:N/SI:H/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CWE 分类 CWE-22
发布时间 2026-07-21
最后更新 2026-07-21
状态 Deferred
数据来源 disclosure@vulncheck.com

漏洞概述

CVE-2026-64825 是一个存在于 Home Assistant Core 中的严重路径遍历漏洞（CWE-22），影响版本早于 2026.6.0。未经身份验证的攻击者可在初始配置窗口期内通过上传特制备份归档文件，将任意文件写入主机文件系统的任意目录。由于 Home Assistant 进程常以 root 权限运行，攻击者可实现完全的文件系统控制，造成严重危害。

该漏洞的 CVSS v4.0 评分为 9.0（严重），向量为 CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:L/SC:N/SI:H/SA:L，表明攻击者可远程发起攻击、攻击复杂度低，且无需任何权限和用户交互；唯一限制是需要绕过攻击目标（AT:P）——即利用窗口仅在初始配置阶段存在。漏洞对完整性（VI:H）和后续系统完整性（SI:H）影响极高，但对机密性无直接影响（VC:N），可用性影响有限（VA:L, SA:L）。

受影响组件与版本

  • 组件：Home Assistant Core
  • 影响版本：所有早于 2026.6.0 的版本（包括 2026.5.x 及更早版本）
  • 修复版本：Home Assistant Core 2026.6.0 及更高版本

注：Home Assistant 基于 Python 的开源智能家居平台，Backup 功能是其核心管理模块之一。

漏洞原理分析

Home Assistant 在初始配置向导期间（onboarding window）允许用户上传备份归档文件以恢复配置。根据 NVD 描述，该过程存在路径遍历缺陷：

  • 攻击者构造一个恶意的 .tar 或 .zip 备份归档，其中包含 backup.json 文件。
  • backup.json 中的 name 字段本应存储备份名称，但程序未做充分过滤。攻击者可将该字段设置为绝对路径（例如 /etc/passwd 或 /tmp/malicious.sh）。
  • Home Assistant 在处理备份恢复时调用 Python 的 pathlib.Path 类的 __truediv__ 方法拼接路径。当 name 为绝对路径时，pathlib.Path.__truediv__ 会忽略预设的前缀（如 /backups/），直接以绝对路径为准，导致写入任意位置。
  • 由于 Home Assistant Core 通常以 root 用户运行（或在 Docker 容器中以特权模式运行），攻击者可写入系统敏感文件（如 cron 任务、SSH 认证密钥、脚本等），实现远程命令执行或持久化后门。

攻击向量分析

  • AV:N（网络攻击）：攻击者可通过 HTTP/HTTPS 接口触发上传。
  • AC:L（低复杂度）：操作简单，只需构造符合格式的备份归档。
  • AT:P（攻击目标存在限制）：利用时间窗口仅限于首次部署后的初始配置阶段（onboarding）。若实例已完成配置，该窗口不再可用，除非管理员手动重置系统。
  • PR:N（无需权限）：初始配置阶段默认无需身份验证。
  • UI:N（无需用户交互）：攻击者直接发送恶意请求即可完成利用。

影响评估

  • 攻击复杂度：低（构造恶意备份文件无技术障碍）
  • 利用条件：必须针对处于初始配置窗口期的 Home Assistant 实例；若系统已配置完成，则无法直接利用（除非管理员执行 factory reset）。
  • 所需权限：无（无需认证）
  • 潜在后果：
    • 完整性破坏（VI:H / SI:H)：攻击者可写入任意文件（如覆盖系统脚本、修改配置文件），导致系统被篡改。
    • 可用性部分影响（VA:L / SA:L)：可能通过写入恶意文件导致服务重启或故障，但并非主要目标。
    • 机密性间接威胁：通过写入恶意脚本获取敏感数据（如凭据、密钥），但 CVSS 评分未将其作为主要影响（VC:N）。
    • 完全控制风险：由于 root 权限，攻击者可能获得完整的操作系统控制权，并横向移动至内部网络。

利用场景示例：
攻击者扫描公网暴露的 Home Assistant 新部署实例，在 onboarding 页面未关闭前，上传包含 name: "/etc/cron.d/malicious" 的 backup.tar，将恶意 cron 任务写入并执行其 payload。

修复建议

1. 升级到安全版本

  • 立即升级 Home Assistant Core 至 2026.6.0 或更高版本。该版本已修复路径遍历问题，对 name 字段进行严格验证，禁止绝对路径并限制在合法的备份目录内。
  • 由于该漏洞在 2026.6.0 中修复，建议用户从官方仓库（如 PyPI、Home Assistant Container 镜像）获取更新。

2. 临时缓解措施（如无法立即升级）

  • 关闭或保护 Onboarding 端口：在初始配置完成后，立即禁用管理员注册/向导接口。可通过防火墙规则限制外部 IP 访问 Home Assistant Web 界面（默认端口 8123），仅允许受信任的内部网络访问。
  • 限制进程权限：运行 Home Assistant 时使用非 root 用户（如 homeassistant），并设置备份目录为只读（对非必要操作）。但注意此措施可能影响备份恢复功能的正常使用。
  • 监控异常文件写入：部署文件完整性监控（如 AIDE、Tripwire）或系统审计日志（auditd），检测 /backups/ 目录外的写入行为。
  • 手动检查备份文件：若必须恢复备份，先解压检查 backup.json 中的 name 字段是否为相对路径，切勿使用来自不可信源的备份。

3. 长期防护建议

  • 遵循最小权限原则，避免 Home Assistant 以 root 运行。
  • 对用户上传的备份文件进行严格的路径规范化处理（如消除 ..、拒绝绝对路径起点）。
  • 使用沙箱或容器化部署（推荐 Docker 并限制挂载卷的写入范围）。

参考资料

  • CVE 详情：https://nvd.nist.gov/vuln/detail/CVE-2026-64825
  • CWE 分类：CWE-22（Path Traversal）
  • 官方公告：暂未发布（截至数据获取时状态为 Deferred），建议关注 Home Assistant 官方博客及 GitHub 发布页
  • NVD CVSS v4.0 解读：向量中 AT:P（攻击目标存在限制）表明漏洞利用窗口有限，但一旦满足条件可远程无认证利用。

本分析基于 NVD 公开数据，未编造未提及的技术细节。若需进一步利用验证，建议在授权环境下测试。