CVE-2026-64824 in Home Assistant Core
要約
〜によって VulDB • 2026年07月21日
Home Assistant Core 2026.7.0 より前のバージョンには、バックアップ・復元機能におけるパストラバーサル脆弱性が存在します。攻撃者は、SYMTYPE エントリを含む作成済みの tar アーカイブを供給することで、悪意のないメンバー名と抽出ディレクトリの外側を指す絶対的なリンク先（linkname）の組み合わせを用い、任意の絶対ファイルシステムパスにファイルを書き込むことができます。公式 Docker イメージでは Home Assistant プロセスが root として実行されるため、後続の通常ファイルエントリが無検証シンボリックリンクを通じて書き込まれることで、攻撃者は site-packages/sitecustomize.py やカスタムコンポーネントディレクトリなどの自動インポート対象となる Python パスを上書きし、リモートコード実行（RCE）を達成することができます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.