CVE-2026-34205

概要

Home Assistant は オープン ソース の スマート ホーム 自動化 プラットフォーム です。この 脆弱性 は、Linux 環境 で ホスト ネットワーク モード を 使用 して 動作 する Home Assistant アプリ が、認証 なし で アクセス 可能 な エンドポイント を ローカル ネットワーク に 露出 する 問題 です。

通常、Home Assistant の エンドポイント は 認証 が 必要 ですが、ホスト ネットワーク モード で 起動 した 場合、Docker の ネットワーク 分離 が 無効 に なり、特定 の サービス エンドポイント が 認証 なし で ローカル ネットワーク 上 の 全て の デバイス から アクセス 可能 に なります。これ は CWE-923（Improper Restriction of Communication Channel to Intended Endpoints）に 分類 されます。

攻撃者 は 同一 ローカル ネットワーク に 接続 して いる だけ で、未 認証 エンドポイント に アクセス し、Home Assistant の 設定 や デバイス 情報 を 取得 したり、接続 された IoT デバイス を 操作 する こと が 可能 です。スマート ロック、セキュリティ カメラ、空調 システム など の 重要 な デバイス が 制御 される リスク が あり、物理的 な セキュリティ にも 影響 を 及ぼす 可能性 が あります。

CVSS スコア は 9.6 で Critical と 評価 されて います。この 問題 は Home Assistant Supervisor 2026.03.02 で 修正 されて います。ホスト ネットワーク モード を 使用 して いる ユーザー は 速やかに アップデート を 実施 して ください。

Home Assistant は 世界中 で 数百万 の ユーザー が 利用 する 人気 の スマート ホーム プラットフォーム です。IoT デバイス の セキュリティ は 物理的 な 安全性 に 直結 する ため、この ような 脆弱性 の 影響 は 特に 深刻 です。ネットワーク 設定 の ベスト プラクティス として、IoT デバイス は 専用 の VLAN に 分離 し、不要 な ポート を 閉じ、定期的 に ファームウェア を 更新 する こと が 重要 です。また、Supervisor の 自動 アップデート を 有効化 して おく こと を 推奨 します。

CVSS ベクトル

影響 を 受ける ソフトウェア

修正 バージョン と 回避策

• 修正 バージョン: Home Assistant Supervisor 2026.03.02 で 修正 済み
• 回避策: ホスト ネットワーク モード から ブリッジ ネットワーク モード へ 変更 する
• 回避策: ファイアウォール で 不要 な ポート へ の ローカル ネットワーク アクセス を 制限 する
• 推奨: Home Assistant を 最新 バージョン に アップデート する
• 推奨: IoT デバイス 用 の ネットワーク を VLAN で 分離 する
• 推奨: ローカル ネットワーク 上 の デバイス を 定期的 に スキャン し、意図 しない オープン ポート が ない か を 確認 する

関連 リンク

• NVD
• GitHub Security Advisory - GHSA-gh5m-4m97-c95h

データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。