【Bezpečnostní upozornění】Sungrow WiNet-S – Zranitelnost pevně zakódovaného hesla WebUI (CVE-2024-50690)

Datum publikace: 20241230

Produkt:Sungrow WiNet-SCVE identifikátor: CVE-2024-50690
Závažnost:Střední

Datum:30.12.2024

Popis

Webové uživatelské rozhraní Sungrow WiNet-S obsahuje pevně zakódované heslo, které umožňuje dešifrování souborů aktualizací firmwaru. Útočníci, kteří získají přístup k tomuto heslu, mohou dešifrovat a prozkoumat aktualizace firmwaru, potenciálně objevit zranitelnosti nebo upravit firmware před nasazením.

Ovlivněné verze

Zranitelný: WINET-SV200.001.00.P027 a starší verze

Nepostiženo:WINET-SV200.001.00.P028 a pozdější

Hodnocení zranitelnosti

CVE-2024-50690：6.5 (AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:H/A:N）

Hodnocení je založeno na standardu CVSS 3.1. Kritéria hodnocení lze najít na

（https://www.first.org/cvss/calculator/3.1）

Zmírnění a náprava

Doporučená akce:Zákazníci by měli aktualizovat na verzi firmwareWINET-SV200.001.00.P028 nebo vyšší..

Vydání opravy:Dostupné nyní.

Dočasné řešení: Omezit přístup k WebUI na důvěryhodné IP adresy, dokud není dokončena aktualizace.

Stav využití

V přírodě nejsou známé žádné exploity.

Poděkování

Tato zranitelnost byla objevena a nahlášenaTechnologie Forescout.

Prohlášení

Všechny aktualizace softwaru, záplaty a dokumentace poskytnuté společností Sungrow Power Supply Co., Ltd. jsou výhradním dílem společnosti Sungrow. Tyto materiály mohou být použity pouze pro údržbu produktu a zlepšení zabezpečení. Jakákoli neautorizovaná modifikace, distribuce, dekompilace nebo zpětné inženýrství je přísně zakázána.

Sungrow neposkytuje žádné výslovné nebo předpokládané záruky týkající se poskytnutých informací, včetně, ale nejen, záruk prodejnosti, vhodnosti pro konkrétní účel nebo neporušení práv. Sungrow nebude odpovědný za žádné přímé, nepřímé, náhodné nebo následné škody vzniklé použitím tohoto dokumentu nebo souvisejícího software.

Sungrow si vyhrazuje právo aktualizovat nebo upravovat tento dokument kdykoli bez předchozího upozornění. Zákazníci jsou zodpovědní za včasnou implementaci bezpečnostních aktualizací k ochraně svých systémů.