L'advisory ZDI-26-563, pubblicato in coordinazione il 12 agosto 2026, documenta una vulnerabilità di Server-Side Request Forgery nel protocollo SSDP di Home Assistant Green. La falla è stata dimostrata nel contesto del programma Pwn2Own e permette a un attaccante sulla stessa rete locale di forzare il dispositivo a eseguire richieste HTTP arbitrarie.
Il report iniziale al vendor risale al 5 novembre 2025, con una finestra di circa nove mesi tra scoperta e disclosure coordinata.
- ZDI-26-563 riguarda Home Assistant Green e sfrutta il protocollo SSDP senza validazione dell'URI nelle intestazioni delle richieste.
- L'attaccante deve trovarsi sulla stessa rete locale: nessuna autenticazione è richiesta per l'exploit.
- L'impatto documentato è l'iniziazione di richieste server-side arbitrarie; l'esecuzione di codice come root richiede concatenazione con altre vulnerabilità.
- Home Assistant ha rilasciato un aggiornamento correttivo, ma l'advisory non specifica versioni interessate né identificatore CVE.
Come funziona il vettore SSDP
Il Simple Service Discovery Protocol è attivo per default su quasi tutti i dispositivi IoT e i gateway domestici. Serve a scoprire servizi in rete locale senza configurazione manuale.
Secondo l'advisory ZDI-26-563, l'implementazione in Home Assistant Green non valida l'URI presente nelle intestazioni SSDP prima di accedere alla risorsa. Questo deficit di validazione permette a un attaccante di iniettare un URI arbitrario nel flusso del protocollo.
Il dispositivo interpreta la richiesta come legittima e la inoltra verso il target scelto dall'attaccante. La tecnica è classificata come SSRF perché il server — in questo caso Home Assistant Green — effettua richieste che l'attaccante non potrebbe eseguire direttamente dalla propria posizione.
"The specific flaw exists within the handling of SSDP headers. The issue results from the lack of proper validation of a URI prior to accessing resources." — ZDI Advisory ZDI-26-563
Condizioni di attacco e scope dell'exploit
L'advisory specifica che l'attaccante deve essere network-adjacent. Questo significa connettività alla stessa rete locale, non accesso remoto da Internet.
La condizione non riduce il rischio in scenari domestici o aziendali dove numerosi dispositivi condividono la stessa subnet. Smartphone, smart TV, ospiti Wi-Fi e firmware compromesso possono fungere da punto d'appoggio.
L'autenticazione non è un prerequisito. L'attaccante non necessita di credenziali valide né di sessioni attive su Home Assistant Green. Questa combinazione — vicinanza di rete più assenza di autenticazione — colloca la vulnerabilità in una classe di facilità di accesso elevata per chiunque abbia già un punto d'appoggio nella rete locale.
Da SSRF a RCE: cosa documenta la catena
L'advisory distingue con precisione tra impatto immediato e impatto potenziale. La falla da sola consente l'iniziazione di richieste arbitrarie server-side.
L'esecuzione di codice arbitrario nel contesto di root è esplicitamente condizionata alla presenza di altre vulnerabilità con cui concatenare l'SSRF. La formulazione è tecnica e misurata: non si tratta di escalation automatica, ma di un primo anello di catena.
In architetture dove Home Assistant Green interagisce con servizi interni non esposti a Internet — database, API di gestione, altri dispositivi — l'SSRF può aggirare controlli perimetrali. L'advisory non specifica quali servizi interni siano effettivamente raggiungibili né fornisce dettagli sul payload SSDP utilizzato nella dimostrazione.
Timeline coordinata e stato della patch
La disclosure segue la timeline standard di Zero Day Initiative: report al vendor il 5 novembre 2025, nove mesi di coordinamento, rilascio pubblico il 12 agosto 2026.
Home Assistant ha emesso un aggiornamento correttivo, ma l'advisory non indica URL specifico della patch né versioni esatte del software interessate. Il campo vendor patch URL rimanda al medesimo indirizzo ZDI dell'advisory stesso.
Il contesto Pwn2Own — evidenziato nel titolo dell'advisory con il prefisso "(Pwn2Own)" — conferisce validazione pratica alla vulnerabilità. I ricercatori hanno dimostrato l'exploit in condizioni controllate durante la competizione, non su carta.
Cosa fare adesso
Gli utenti di Home Assistant Green devono verificare che il dispositivo riceva aggiornamenti automatici dal vendor. L'advisory conferma che Home Assistant ha rilasciato una patch, ma non specifica versioni interessate né procedure di verifica.
È opportuno isolare il dispositivo in una subnet dedicata, limitando la superficie di esposizione a eventuali attori già presenti nella rete locale. La natura network-adjacent della vulnerabilità rende questa misura rilevante: l'attaccante deve trovarsi sulla stessa rete del dispositivo per sfruttare la falla.
Monitorare il traffico SSDP anomalo nella rete locale può aiutare a rilevare tentativi di exploit. L'advisory non fornisce indicatori di compromesso specifici, ma la presenza di richieste SSDP con URI inattesi verso destinazioni interne costituisce un segnale di allarme.
La finestra di nove mesi tra report (5 novembre 2025) e disclosure coordinata (12 agosto 2026) suggerisce che la patch sia disponibile da tempo, ma non garantisce che tutte le installazioni siano aggiornate.
Domande frequenti
Posso essere attaccato da Internet?
No. L'advisory specifica esplicitamente che l'attaccante deve essere network-adjacent, ovvero sulla stessa rete locale del dispositivo.
La falla permette direttamente di ottenere il controllo del dispositivo?
No. L'SSRF documentato consente richieste arbitrarie server-side. L'esecuzione di codice come root richiede concatenazione con altre vulnerabilità, secondo quanto dichiarato nell'advisory.
È disponibile un identificatore CVE o un punteggio CVSS?
Il testo dell'advisory ZDI-26-563 non riporta CVE ID né punteggio CVSS. Il dossier non contiene fonti ufficiali che li assegnino.
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-563/
- http://www.zerodayinitiative.com/advisories/upcoming/
- https://www.trendmicro.com/en_us/business/products/one-platform.html