Nota editoriale sui limiti della fonte: L'analisi si basa esclusivamente sull'advisory ZDI-26-561, unica fonte primaria strutturata disponibile. Nessuna fonte indipendente ha corroborato i dettagli tecnici. I campi CVE ID, CVSS e vendorPatchUrl sono vuoti nell'advisory; il campo affectedVendor contiene un errore di parsing (data anziché nome vendor).
Il 12 agosto 2026 l'advisory ZDI-26-561 ha reso pubblica una vulnerabilità nel processo go2rtc di Home Assistant Green che permette esecuzione di codice arbitrario con privilegi di root. La condizione di attacco — accesso all'interfaccia localhost da parte di un attaccante network-adjacent — apre un fronte che i team di sicurezza tendono a ignorare.
- La vulnerabilità ZDI-26-561 interessa il processo go2rtc di Home Assistant Green e permette command injection con esecuzione di codice come root
- L'attaccante deve essere network-adjacent e aver ottenuto accesso all'interfaccia localhost del dispositivo
- La falla deriva dalla mancata validazione di una stringa fornita dall'utente prima del passaggio a una system call
- Nessun CVE assegnato, nessun punteggio CVSS pubblicato e nessun URL di patch specifico del vendor sono disponibili nell'advisory
I fatti: come funziona la command injection in go2rtc
Il processo go2rtc gestisce lo streaming video in formati RTSP e WebRTC all'interno di Home Assistant Green. Secondo l'advisory ZDI-26-561, la vulnerabilità risiede nella mancanza di validazione di una stringa user-supplied prima che questa venga utilizzata per eseguire una system call.
Questo meccanismo di command injection consente all'attaccante di inserire comandi arbitrari che vengono eseguiti nel contesto di root. L'advisory non specifica quali parametri di go2rtc siano injectabili né fornisce dettagli sul payload di attacco.
"This vulnerability allows network-adjacent attackers to execute arbitrary code on affected installations of Home Assistant Green. An attacker must first obtain the ability to access the device's localhost interface." — ZDI Advisory ZDI-26-561
"The specific flaw exists within the go2rtc process. The issue results from the lack of proper validation of a user-supplied string before using it to execute a system call. An attacker can leverage this vulnerability to execute code in the context of root." — ZDI Advisory ZDI-26-561
Analisi: perché il prerequisito "localhost" non è una barriera
Sezione di analisi editoriale — i dati seguenti non sono nel brief:
L'advisory ZDI-26-561 descrive l'attaccante come "network-adjacent" con la capacità di accedere all'interfaccia localhost. Il termine "network-adjacent" indica prossimità di rete: l'attaccante si trova sulla stessa rete locale o in posizione che permette di raggiungere il dispositivo senza attraversare perimetri internet pubblici.
Il brief non specifica se l'accesso localhost richieda compromissione preliminare di altri dispositivi. In teoria, un attaccante network-adjacent potrebbe ottenere accesso all'interfaccia localhost attraverso vettori non dettagliati nell'advisory. Questa possibilità rimane ipotetica: il dossier non documenta vettori di attacco specifici oltre al prerequisito di accesso localhost.
Il brief non documenta se la vulnerabilità sia stata effettivamente sfruttata durante l'edizione Pwn2Own 2026, né da quale team di ricercatori. Il riferimento "(Pwn2Own)" nel titolo dell'advisory indica associazione al programma ZDI collegato all'evento, non necessariamente dimostrazione in competizione.
Cosa manca nel dossier: CVE, CVSS e patch
L'advisory ZDI-26-561 presenta campi vuoti per CVE ID, punteggio CVSS e vettore di scoring. Il campo vendorPatchUrl punta al medesimo advisory ZDI anziché a una risorsa di patch del vendor.
Il campo affectedVendor, anomalamente, contiene la data di rilascio coordinato ("2026-08-12") piuttosto che il nome del vendor. Il vendor dedotto dal contesto dell'advisory è Nabu Casa/Home Assistant, ma questo nome non compare nel campo strutturato affectedVendor, indicando un errore di parsing nei dati ZDI.
Per i security team, queste lacune materiali complicano la gestione del rischio. Senza CVE non è possibile la correlazione automatica nei sistemi di vulnerability management. Senza CVSS non si dispone di un quadro standardizzato per la prioritizzazione. Senza URL di patch specifico non è verificabile lo stato di correzione del vendor.
Il brief non documenta versioni specifiche di Home Assistant Green o del componente go2rtc interessate. Questo limite impedisce agli utenti di determininarne rapidamente se le proprie installazioni rientrano nel perimetro di rischio.
Cosa cambia
Data l'assenza di informazioni verificabili su patch, mitigazioni o versioni corrette, non è possibile formulare raccomandazioni operative specifiche. Il brief non elenca contromisure tecniche documentate dal vendor o dal ricercatore.
Gli operatori che gestiscono installazioni Home Assistant Green devono considerare che:
- L'advisory ZDI-26-561 è l'unica fonte strutturata disponibile su questa vulnerabilità
- Nessuna informazione è disponibile circa la disponibilità di aggiornamenti correttivi
- Il vendorPatchUrl fornito non porta a una patch del vendor ma al medesimo advisory ZDI
La linea temporale rivela un intervallo di circa 9 mesi tra la segnalazione al vendor il 5 novembre 2025 e il rilascio coordinato dell'advisory il 12 agosto 2026. Questa finestra rientra nelle pratiche standard di coordinated disclosure, ma lascia il dispositivo potenzialmente esposto per un periodo significativo senza informazioni pubbliche.
Domande e limiti aperti
- La vulnerabilità è stata effettivamente dimostrata a Pwn2Own?
- Il titolo dell'advisory include il riferimento "(Pwn2Own)" ma il brief non documenta se l'exploit sia stato effettivamente eseguito durante la competizione o se la vulnerabilità sia stata semplicemente catalogata nel programma ZDI associato all'evento.
- Quali versioni sono interessate?
- Il brief non specifica versioni di Home Assistant Green, versioni del firmware, o versioni del componente go2rtc. Questo limite impedisce agli utenti di determinare rapidamente se le proprie installazioni rientrano nel perimetro di rischio.
- Qual è lo stato della patch?
- Nessuna informazione è disponibile nell'advisory circa la disponibilità di aggiornamenti correttivi. Il vendorPatchUrl duplica l'indirizzo dell'advisory ZDI-26-561.
- Come si ottiene l'accesso localhost?
- Il brief non specifica se l'accesso localhost richieda compromissione preliminare di altri sistemi o quali condizioni lo rendano possibile. Il dossier non documenta vettori di pivoting o escalation da network-adjacent a accesso localhost.
Limitazione della fonte: Questo articolo si basa esclusivamente sull'advisory ZDI-26-561 pubblicato da Zero Day Initiative. Nessuna fonte indipendente ha verificato i dettagli tecnici. I campi strutturati dell'advisory presentano anomalie (affectedVendor con data, vendorPatchUrl circolare, campi CVE e CVSS vuoti) che limitano la completezza dell'analisi.
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-561/
- https://www.trendmicro.com/
- https://www.trendmicro.com/en_us/business/products/one-platform.html