Companion-Apps ermöglichen Übernahme durch Angreifer

Allgemein & News
1

Heise berichtet:

Die Companion-Apps für Android und iOS reißen ein Sicherheitsleck in Home Assistant. Angreifer könnten Instanzen übernehmen.

[…]

Aktualisierte Software fixt das Problem

Die Schwachstelle bessern die Home-Assistant-Companion-Apps in Version 2026.4.4 für Android und 2026.4.1 für iOS aus.

7 „Gefällt mir“
2

Wobei die App bereits vor gut 1,5 Monaten aktualisiert wurde, zumindest bei Android. Bei iOS weiß ich es nicht.

ha_app_update
ha_app_update1080×1455 91.6 KB

Bild

1 „Gefällt mir“
3

Für iOS wurde die App vor etwa 1 Woche auf 2026.5.0 aktualisiert.

4

Besonders kritisch erscheint mir das aber nicht. Es scheint dabei ja nur darum zu gehen, dass Websiten die man über die HA-App öffnet den Access Token abgreifen können.

Ein Exploit ist daher relativ unwahrscheinlich:

  • Wenn die HA Instanz nicht im Internet erreichbar ist, bringt der Access-Token Hackern überhaupt nichts :slight_smile:
  • Man müsste eine Webseite, die den Exploit ausnutzt, in HA eingebunden haben
1 „Gefällt mir“
5

Und genau das dürfte ein Problem sein. Der sorglose User ist mit allem sofort im Internet und von überall erreichbar. Für den bedachten User scheint das unvorstellbar. Die meisten werden erst aus Schaden klug.

2 „Gefällt mir“