【Συμβουλή Ασφαλείας】Sungrow iSolarCloud – Μη ασφαλείς άμεσες αναφορές αντικειμένων (IDOR) στο API powerStationService (CVE-2024-50685)

Ημερομηνία δημοσίευσης: 20241230

Προϊόν: iSolarCloud
Αναγνωριστικό CVE: CVE-2024-50685
Βαρύτητα:Μεσαίο

Ημερομηνία: 20241230

Περιγραφή

Το API iSolarCloud powerStationService είναι ευάλωτο σε Insecure Direct Object References (IDOR). Οι επιτιθέμενοι που εκμεταλλεύονται αυτό το ζήτημα θα μπορούσαν να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση σε δεδομένα από λογαριασμούς άλλων χρηστών, εκθέτοντας δυνητικά ευαίσθητες πληροφορίες που σχετίζονται με ηλιακούς σταθμούς παραγωγής ενέργειας.

Επηρεαζόμενες εκδόσεις

Ευάλωτο: Η ευπάθεια commonService του iSolarCloud, η οποία αποκαταστάθηκε στις 31 Οκτωβρίου 2024, είχε εκθέσει το σύστημα σε κινδύνους ασφαλείας πριν από τον μετριασμό της.

Δεν επηρεάζεται:Η ευπάθεια του iSolarCloud commonService, η οποία διορθώθηκε στις 31 Οκτωβρίου 2024, δεν έχει αποτελέσει κίνδυνο για το σύστημα από τη στιγμή της αποκατάστασής της.

Βαθμολογία ευπάθειας

CVE-2024-50685: 6.5（AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N）

Η βαθμολόγηση βασίζεται στο πρότυπο CVSS 3.1. Τα κριτήρια βαθμολόγησης μπορούν να αναζητηθούν στο

（https://www.first.org/cvss/calculator/3.1）

Μετριασμός και αποκατάσταση

Προτεινόμενη ενέργεια:Το iSolarCloud έχει αναβαθμιστεί και επιδιορθωθεί στις 31 Οκτωβρίου 2024 χωρίς ενέργεια από τον πελάτη.

Έκδοση επιδιόρθωσης:Μ/Δ.

Προσωρινή διόρθωση:Μ/Δ.

Κατάσταση εκμετάλλευσης

Δεν είναι γνωστή εκμετάλλευση σε πραγματικές συνθήκες.

Ευχαριστίες

Η συγκεκριμένη ευπάθεια ανακαλύφθηκε και αναφέρθηκε από Forescout Technologies.

Δήλωση

Όλες οι ενημερώσεις λογισμικού, οι επιδιορθώσεις και η τεκμηρίωση που παρέχονται από τη Sungrow Power Supply Co., Ltd. αποτελούν ιδιοκτησιακό έργο της Sungrow. Αυτά τα υλικά επιτρέπεται να χρησιμοποιούνται μόνο για τη συντήρηση του προϊόντος και για βελτιώσεις ασφάλειας. Οποιαδήποτε μη εξουσιοδοτημένη τροποποίηση, διανομή, αποσυμπίληση ή αντίστροφη μηχανική απαγορεύεται αυστηρά.

Η Sungrow δεν παρέχει ρητές ή σιωπηρές εγγυήσεις σχετικά με τις παρεχόμενες πληροφορίες, συμπεριλαμβανομένων, ενδεικτικά, εγγυήσεων εμπορευσιμότητας, καταλληλότητας για συγκεκριμένο σκοπό ή μη παραβίασης. Η Sungrow δεν φέρει ευθύνη για οποιεσδήποτε άμεσες, έμμεσες, τυχαίες ή επακόλουθες ζημίες που προκύπτουν από τη χρήση αυτού του εγγράφου ή του σχετικού λογισμικού.

Η Sungrow διατηρεί το δικαίωμα να ενημερώνει ή να τροποποιεί αυτό το έγγραφο οποτεδήποτε χωρίς προηγούμενη ειδοποίηση. Οι πελάτες είναι υπεύθυνοι να εφαρμόζουν εγκαίρως ενημερώσεις ασφαλείας για την προστασία των συστημάτων τους.