Sicherheitslücke in Home Assistant Companion App

[Dampf]

Wer die HA App nutzt sollte sollte die unbedingt auf den aktuellen Stand updaten.
https://www.deskmodder.de/blog/2026/...s-geschlossen/

[skywalker007]

Wer die HA App nutzt sollte sollte die unbedingt auf den aktuellen Stand updaten.
https://www.deskmodder.de/blog/2026/...s-geschlossen/

Mir ist sowieso immer wieder ein Rätsel wieso manche Anwender ihre Home Assistant Installation im Internet bereitstellen. Sowas gehört in ein geschlossenes Netz und auf das Handy ein VPN Client der die Verbindung tunnelt.

[henfri]

Naja... eine im Dashboard vom User eingebettete böse Seite hätte Zugriff auf den Access Token bekommen können.

[r4id]

Sowas gehört in ein geschlossenes Netz und auf das Handy ein VPN Client der die Verbindung tunnelt

Reverse Proxy wäre auch möglich

[BadSmiley]

Ich mache alles via cloudflare... Damit ist der traffic auch tls verschlüsselt mit einem gültigen Zertifikat. Ist das jetzt auch böse?

[FrankMaier]

Ich mache alles via cloudflare... Damit ist der traffic auch tls verschlüsselt mit einem gültigen Zertifikat. Ist das jetzt auch böse?

Was bringt dir Cloudflare? Deine IP ist dadurch geschützt, du hast einen DDoS Schutz deines Anschlusses aber deine HA-Instanz ist über die URL weiterhin ganz normal erreichbar und ganz normal angreifbar. Somit kann jeder, der deine URL hat, sich auf dein HA einloggen. Somit kann weiterhin jeder eine Sicherheitslücke von HA ausnutzen. Cloudflare bietet dir diesbezüglich gar keinen Schutz.
Die Verschlüsselung des Traffics wird von Cloudflare übrigens auch noch zusätzlich unterbrochen, sodass den USA dein gesamter Traffic, deine IP Cams, ... in Reinschrift vorliegen und du durch Cloudlfare gerade nicht mehr eine E2E hast.

Und ganz konkret: Cloudlfare hätte dir bei der oben genannten Lücke nichts gebracht, VPN übrigens auch nichts. Aber wurdest du gehackt, hat der Hacker trotz Cloudflare nun weiterhin Vollzugriff auf deine HA Instanz, bei VPN nicht.