Question 1

Gladys Assistant のバックアップ復元における OS コマンドインジェクション脆弱性を修正するにはどうすればよいですか？

Accepted Answer

Gladys Assistant を v4.72.0 以降にアップグレードしてください。この脆弱性は v4.67.0 以下のバージョンに影響し、POST /api/v1/gateway/backup/restore を通じて file_url 内のシェルメタ文字ペイロードによって引き起こされます。

Docker アップグレード
docker stop gladys
docker rm gladys
docker pull gladysassistant/gladys:v4.72.0

docker run -d \
  --name gladys \
  --privileged \
  -e NODE_ENV=production \
  -e SERVER_PORT=80 \
  -e SQLITE_FILE_PATH=/var/lib/gladysassistant/gladys-production.db \
  -v /var/lib/gladysassistant:/var/lib/gladysassistant \
  -p 8000:80 \
  gladysassistant/gladys:v4.72.0

Docker Compose を使用している場合は、docker compose pull && docker compose up -d を実行してください。

すぐにアップグレードできない場合の一時的な緩和策:
・リバースプロキシまたはファイアウォールで POST /api/v1/gateway/backup/restore をブロックまたは制限してください。
・Gladys をインターネットに直接公開しないでください。VPN または信頼できる IP を必須にしてください。
・管理者パスワード、セッション、認証キー、および Gladys ゲートウェイ認証情報をローテーションしてください。
・最後の手段として、Gladys を停止し、SQLite データベースをバックアップし、脆弱な復元パスで必要とされるバックアップキーを削除してください:
sqlite3 /var/lib/gladysassistant/gladys-production.db \
  "DELETE FROM t_variable WHERE name='GLADYS_GATEWAY_BACKUP_KEY';"
これにより、キーが再プロビジョニングされるまで、影響を受けるゲートウェイのバックアップ復元機能が無効になります。不審な復元リクエストの前後に作成されたログとファイルを確認し、侵害の兆候がないか調べてください。

Question 2

Gladys Assistant のバックアップ復元における Zip-Slip path traversal 脆弱性を修正する方法は？

Accepted Answer

脆弱性は Gladys Assistant ≤ 4.67.0 に影響します。復元エンドポイント POST /api/v1/gateway/backup/restore は、メンバーパスを検証せずに tar -xzvf -C で tar アーカイブを展開し、../ エントリ、絶対パス、またはシンボリックリンクに基づく書き込みを復元ディレクトリ外で可能にします。これは Gladys Assistant v4.72.0 で修正されています。v4.72.0 以降にアップグレードしてください。Docker Compose の場合は、イメージタグを gladysassistant/gladys:v4.72.0 以降に更新し、次を実行します: docker compose pull && docker compose up -d。Gladys UI でアップグレード後のバージョンを確認してください。すぐにアップグレードできない場合は、リバースプロキシで POST /api/v1/gateway/backup/restore を制限またはブロックし、信頼できる IP/管理者のみを許可し、信頼できない file_url からは復元しないでください。また、/var/lib/gladysassistant とそのホストバインドマウントに予期しないファイルがないか監査してください。悪用が疑われる場合は、管理者の資格情報とその他のシークレットをローテーションしてください。

Question 3

なぜ Gladys Assistant の掃除機ウィジェットは、サポートされていない clean モードと run モードを表示するのですか。また、それらをどうやってフィルタリングすればよいですか？

Accepted Answer

clean-mode と run-mode のコントロールは以前、すべての enum 値をハードコードしており、機能の supported_options を無視していました。これは PR #3171 で、両方のドロップダウンを resolveFeatureOptions(deviceFeature, STATIC_OPTIONS) で構築するようにして修正されました。Gladys Assistant を PR #3171 を含むリリースにアップグレードするか、現在の master からフロントエンドをビルドしてください。次に、サポートされている値だけを公開してください。例: supported_options: [{ "value": 0 }, { "value": 2 }]。UI はそれらを sort_order で表示し、利用可能な場合はオプションの label を使用します。supported_options を持たない機能は、引き続き完全な静的リストを表示します。古いバージョンでは、回避策として、代わりにモードを text/select 機能として公開します。

Question 4

Gladys の外部インテグレーションから USB シリアルデバイス（/dev/ttyUSB、/dev/ttyACM）にアクセスするには？

Accepted Answer

Gladys の外部インテグレーションは、シリアルデバイスに直接アクセスできないサンドボックス化されたコンテナ内で実行されます。マニフェストの `devices` オプションは `coral-usb`、`coral-pcie`、`gpu`、`video` クラスのみをサポートしており（しかもサブコンテナに限られます）、そのためメインコンテナは `/dev/ttyUSB*` や `/dev/ttyACM*` を要求できません。ネイティブなシリアルサポートは提案（issue #3194）の段階にとどまっており、実装されていません。

**回避策：ホスト上でシリアルポートを TCP 経由でブリッジする。**

1. Gladys ホストに ser2net をインストールし、ドングルを TCP ポートにマッピングします。例えば `/etc/ser2net.yaml` で：
```yaml
connection: &rfplayer
  accepter: tcp,2000
  connector: serialdev,/dev/serial/by-id/usb-xxxx-if00,115200n81,local
```
または socat を使用：`socat TCP-LISTEN:2000,reuseaddr,fork FILE:/dev/serial/by-id/usb-xxxx-if00,b115200,raw,echo=0`
2. インテグレーションコンテナからは、シリアルパスの代わりに `<host-lan-ip>:2000` に接続します。

**重要な注意点：**
- TCP ポートには**認証がありません**。ser2net/socat を特定のインターフェース/IP にバインドするか、ファイアウォールでポートを制限して、インテグレーションのみがアクセスできるようにしてください。
- シリアルパラメータはホスト側で設定する必要があります。RFPlayer RFP1000 は 115200 8N1 を使用します。Téléinfo の historic モードは 1200 ボー 7E1 を使用します（standard/Linky モードは 9600 7E1）。
- ドングルは `/dev/ttyUSB0` ではなく、必ず `/dev/serial/by-id/*` で参照してください。ttyUSB の番号は抜き差しや再起動のたびに変わりますが、by-id の名前は変わりません。
- ser2net/socat を（例えば systemd サービスとして）常時実行し続け、自分で監視する必要があります。

これは RFPlayer、Téléinfo/Linky モジュール、Zigbee および Z-Wave の USB スティック、RFXtrx、EnOcean、Arduino ベースのドングルに適用されます。

Gladys Assistant

主な機能

できないこと

使用例

タグ

はじめ方

類似プロジェクト