Εφαρμογή Android Sungrow iSolarCloud – Ευπάθεια σκληροκωδικοποιημένων διαπιστευτηρίων MQTT

Ημερομηνία δημοσίευσης 2025-03-27

Η εφαρμογή iSolarCloud για Android και οι υπηρεσίες cloud χρησιμοποιούν σκληροκωδικοποιημένα διαπιστευτήρια MQTT για την ανταλλαγή τηλεμετρίας συσκευών. Αυτή η ευπάθεια θα μπορούσε να επιτρέψει σε έναν επιτιθέμενο να υποκλέψει και να χειριστεί την επικοινωνία μεταξύ των συσκευών Sungrow και της πλατφόρμας iSolarCloud, οδηγώντας ενδεχομένως σε μη εξουσιοδοτημένη πρόσβαση σε δεδομένα ή σε έλεγχο της τηλεμετρίας των συσκευών.

Επηρεαζόμενες εκδόσεις

Εμείς Ευάλωτοι:Όλες οι εκδόσεις V2.1.6.20241017 και προηγούμενες
Δεν επηρεάζεται: V2.1.6.20241104 and later

Βαθμολογία ευπάθειας

CVE-2024-50688:  5.3（AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N）
Η βαθμολογία βασίζεται στο πρότυπο CVSS 3.1. Τα κριτήρια βαθμολόγησης μπορούν να ανατρέξουν στο（https://www.first.org/cvss/calculator/3.1）

Μετριασμός και αποκατάσταση

Συνιστώμενη ενέργεια: Οι πελάτες θα πρέπει να ενημερώσουν την εφαρμογή Android iSolarCloud στην πιο πρόσφατη έκδοση μέσω του επίσημου app store.
Έκδοση επιδιόρθωσης: Διαθέσιμο τώρα.
Προσωρινή επιδιόρθωση:Περιορίστε την πρόσβαση του εξωτερικού δικτύου στους μεσίτες MQTT μέχρι να εφαρμοστεί η αναβάθμιση.

Κατάσταση εκμετάλλευσης

Δεν είναι γνωστή εκμετάλλευση σε πραγματικές συνθήκες.

Ευχαριστίες

Η ευπάθεια αυτή ανακαλύφθηκε και αναφέρθηκε από την Forescout Technologies.

Δήλωση

Όλες οι ενημερώσεις λογισμικού, οι διορθώσεις και η τεκμηρίωση που παρέχονται από τη Sungrow Power Supply Co., Ltd. αποτελούν ιδιοκτησιακό έργο της Sungrow. Αυτά τα υλικά επιτρέπεται να χρησιμοποιούνται μόνο για τη συντήρηση προϊόντων και τη βελτίωση της ασφάλειας. Οποιαδήποτε μη εξουσιοδοτημένη τροποποίηση, διανομή, αποσυμπίληση ή αντίστροφη μηχανική απαγορεύεται αυστηρά.
 
Η Sungrow δεν παρέχει ρητές ή σιωπηρές εγγυήσεις σχετικά με τις παρεχόμενες πληροφορίες, συμπεριλαμβανομένων ενδεικτικά των εγγυήσεων εμπορευσιμότητας, καταλληλότητας για συγκεκριμένο σκοπό ή μη παραβίασης δικαιωμάτων. Η Sungrow δεν φέρει ευθύνη για οποιεσδήποτε άμεσες, έμμεσες, τυχαίες ή επακόλουθες ζημίες που προκύπτουν από τη χρήση αυτού του εγγράφου ή του σχετικού λογισμικού.
 
Η Sungrow διατηρεί το δικαίωμα να ενημερώσει ή να τροποποιήσει αυτό το έγγραφο οποιαδήποτε στιγμή χωρίς προηγούμενη ειδοποίηση. Οι πελάτες είναι υπεύθυνοι για την έγκαιρη εφαρμογή των ενημερώσεων ασφαλείας, ώστε να προστατεύουν τα συστήματά τους.