Ricevi DeafLetter
Una selezione settimanale di segnali, vulnerabilità e guide. Gli avvisi critici restano facoltativi.
Puoi cancellarti in ogni momento. Privacy policy.
Il 6 novembre 2026 Trend Micro Zero Day Initiative ha reso pubblico l'advisory ZDI-26-897, che documenta una vulnerabilità di Server-Side Request Forgery nel modulo aiohttp_client di Home Assistant Green. La falla, identificata come CVE-2026-91131 e originata nel contesto della competizione Pwn2Own, consente a un attaccante in posizione network-adjacent di forzare il dispositivo a effettuare richieste HTTP verso destinazioni arbitrarie, senza necessità di autenticazione.
L'analisi si basa sull'advisory ZDI-26-897 come unica fonte primaria strutturata disponibile; dettagli tecnici aggiuntivi non sono stati resi pubblici.
- La vulnerabilità CVE-2026-91131 risiede nel modulo aiohttp_client di Home Assistant Green e deriva dal seguire redirect HTTP
- L'exploit richiede un attaccante network-adjacent non autenticato, posizionato nella stessa rete locale del dispositivo
- La fonte documenta che l'SSRF può essere combinato con altre vulnerabilità per ottenere esecuzione di codice arbitrario con privilegi di root
- Home Assistant ha rilasciato un aggiornamento correttivo; l'advisory è stato pubblicato il 6 novembre 2026 dopo coordinazione dal report iniziale del 5 novembre 2025
Come funziona l'attacco: il meccanismo dei redirect HTTP
Il nucleo tecnico della vulnerabilità si annida nel comportamento del modulo aiohttp_client quando gestisce le risposte HTTP contenenti header di redirect. Secondo l'advisory ZDI, "The specific flaw exists within the aiohttp_client module. The issue results from following HTTP redirects". Il dispositivo, nella sua configurazione vulnerabile, accetta e segue reindirizzamenti verso URL controllati dall'attaccante.
Questo meccanismo costituisce una variante classica di SSRF: il server viene indotto a effettuare richieste che il client malintenzionato non potrebbe eseguire direttamente. In una rete domestica tipica, dove Home Assistant Green agisce da hub centrale per luci, termostati, serrature e sensori, la capacità di pivotare verso servizi interni rappresenta un vettore di attacco non trascurabile.
La condizione network-adjacent, come specificato dalla fonte, non equivale a accesso remoto arbitrario da Internet. L'attaccante deve raggiungere la rete locale del bersaglio, scenario realistico attraverso compromissione di altri dispositivi o reti Wi-Fi condivise.
Da SSRF a RCE root: la catena di exploit documentata
L'advisory ZDI supera la semplice catalogazione della falla SSRF per indicarne le potenziali conseguenze estreme. La fonte afferma che "An attacker can leverage this in conjunction with other vulnerabilities to execute arbitrary code in the context of root". Questa formulazione è precisa: non si tratta di RCE diretta tramite il solo SSRF, ma di una primitive che abilita una catena di exploit il cui esito finale può essere il controllo completo del dispositivo.
La natura non specificata delle "altre vulnerabilità" necessarie alla catena costituisce un limite documentato. ZDI non elenca quali falle complementari siano state utilizzate nella dimostrazione Pwn2Own, né fornisce dettagli sulle condizioni di trigger del redirect. Questa opacità è coerente con le politiche di disclosure coordinata.
Il privilegio di root su un dispositivo Home Assistant Green conferisce accesso illimitato all'intero ecosistema di automazione domestica collegato. In un contesto IoT, dove l'hub orchestra dispositivi fisici con capacità di interazione con l'ambiente, la compromissione root travalica la dimensione puramente digitale.
Il contesto Pwn2Own e la metrica del rischio
L'origine della vulnerabilità nel contesto Pwn2Own conferisce alla segnalazione un peso specifico nella comunità della sicurezza. La competizione, organizzata da Trend Micro ZDI, premia la dimostrazione di exploit funzionanti contro target selezionati, con criteri di validazione rigorosi che escludono teorie di attacco non verificate.
"This vulnerability allows network-adjacent attackers to initiate arbitrary server-side requests on affected installations of Home Assistant Green. Authentication is not required to exploit this vulnerability." — Advisory ZDI-26-897
Il punteggio CVSS riportato nella tabella pubblicazioni ZDI per l'identificatore interno ZDI-CAN-28361 è 5.4. Questo dato, attribuito esplicitamente alla fonte tabellare e non al testo dell'advisory, posiziona la vulnerabilità in una fascia di severità moderata. Il vettore completo e la versione CVSS non sono disponibili nelle fonti esaminate.
La discrepanza tra la gravità numerica e il potenziale impatto di una catena RCE root evidenzia i limiti noti del framework CVSS nel catturare la criticità di vulnerabilità che funzionano come anello iniziale di exploit più complessi.
Cosa fare adesso
Home Assistant ha rilasciato un aggiornamento per correggere questa vulnerabilità, come dichiarato nell'advisory ZDI. Gli utenti dovrebbero applicare l'aggiornamento rilasciato dal vendor quando disponibile per la propria installazione.
La versione specifica di Home Assistant Green affetta non è indicata nelle fonti disponibili. L'URL della patch specifica del vendor non è fornito; il link ZDI punta all'advisory stesso.
Limiti della fonte e distinzione da altre vulnerabilità
È necessario distinguere con chiarezza questa vulnerabilità da altre segnalazioni di SSRF nella stessa piattaforma. L'advisory GitHub Security Lab relativo a una falla SSDP in Home Assistant riguarda un vettore distinto: il bypass dei filtri loopback nel parsing delle risposte SSDP, non il meccanismo di redirect HTTP nel modulo aiohttp_client. Le due vulnerabilità non sono intercambiabili né varianti della stessa falla.
Le fonti disponibili per questa analisi sono l'advisory ZDI-26-897 (duplicato su due URL), la tabella pubblicazioni ZDI con il punteggio CVSS 5.4, e l'advisory GitHub come contesto tecnico su una SSRF separata. Non sono state effettuate verifiche incrociate con fonti primarie multiple indipendenti.
Chiusura editoriale
La pubblicazione coordinata di ZDI-26-897 chiude un ciclo di disclosure durato quasi un anno, dal report iniziale del 5 novembre 2025 alla release pubblica del 6 novembre 2026. Il caso CVE-2026-91131 conferma che i dispositivi IoT domestici, anche quelli con reputazione di sicurezza solida, rappresentano target appetibili per ricercatori e attori offensivi. La natura network-adjacent della minaccia non la rende meno rilevante: nelle reti domestiche moderne, dove dispositivi multipli condividono la stessa infrastruttura, il confine tra accesso locale e compromissione significativa è sottile e sempre più contestato.
Fonti
Ricevi DeafLetter
Una selezione settimanale di segnali, vulnerabilità e guide. Gli avvisi critici restano facoltativi.
Puoi cancellarti in ogni momento. Privacy policy.