Frigate 0.18.1 retter tre sårbarheter som lar brukere uten admin se andre kameraer og krasje NVR-en

Frigate, den selvhostede NVR-en med lokal objektgjenkjenning, publiserte versjon 0.18.1 sammen med tre sikkerhetsvarsler 13. oktober. Alle tre har severity medium med CVSS 6,3 til 6,5, og alle krever at angriperen er logget inn. Oppsett med flere brukere er derfor mest utsatt: resten av husstanden, hytta eller en nabo med seer-tilgang.

Hullet med størst rekkevidde, GHSA-935r-r3xx-6gmw, sitter i nginx-laget. Sender en bruker et # i Host-headeren, ser autorisasjonen en tom sti og slipper forespørselen gjennom. En bruker med begrenset kamerarolle kan da lese klipp, opptak og eksporter fra kameraer utenfor sin tillatelsesliste, inkludert ansiktsbildene i clips/faces/, og åpne go2rtc-livestrømmer. Alle versjoner til og med 0.18.0 er rammet.

«Dette undergraver den rollebaserte kameraisolasjonen som begrensede roller finnes for å gi» — sikkerhetsvarselet GHSA-935r-r3xx-6gmw

GHSA-x2ch-x8hv-75xf handler om kameranavn. Heter et kamera faces, lpr, audio eller classification, hopper den globale admin-sjekken over endepunktene med samme prefiks. En seer kan da lese ansiktsregisteret og forgifte treningsdataene slik at Frigate feilidentifiserer bestemte personer. Feilen finnes fra v0.17.0-beta1 til og med 0.18.0.

GHSA-6hh9-gv48-g8q6 er en vedvarende DoS. Registreringen av webpush-varsler sjekker bare at nøklene er ikke-tomme strenger, så en misdannet p256dh-nøkkel lagres i SQLite og krasjer Frigate ved hver oppstart. Det gjelder installasjoner med kameravarsler slått på, og automatisk omstart hjelper ikke.

Versjonen kutter også CPU-bruken med Intel QSV for kameraer med høy bildefrekvens og fikser reindeksering av semantisk søk.

Hva bør du gjøre?

1. Oppdater til ghcr.io/blakeblackshear/frigate:0.18.1, eller varianten du bruker, som 0.18.1-tensorrt eller 0.18.1-rk.
2. Gå gjennom brukerlisten og slett kontoer som ikke trenger tilgang, siden alle tre hullene krever innlogging.
3. Gi ingen kameraer navnene faces, lpr, audio eller classification, heller ikke etter oppdateringen.