【Turvallisuusvaroitus】Sungrow iSolarCloud Android-sovellus – Heikko salausavain haavoittuvuus (CVE-2024-50684)

Tuote: iSolarCloud Android-sovellus
CVE-tunnus: CVE-2024-50684
Vakavuus:Keskisuuri

Päivämäärä:30.12.2024

Kuvaus

iSolarCloud Android-sovellus käyttää epäturvallista AES-salausavainta, jolla on riittämätön entropia, mikä altistaa sen salaushyökkäyksille. Hyökkääjä, jolla on pääsy salattuun viestintään, saattaa pystyä purkamaan siepatun datan, mikä voi paljastaa arkaluontoista käyttäjätietoa.

Vaikutetut versiot

Haavoittuva:Kaikki versiot V2.1.6.20241017 ja sitä aiemmat

Ei vaikuttanut: V2.1.6.20241104 ja myöhemmät

Haavoittuvuusluokitus

CVE-2024-50684: 6.5 (AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:N)

Pisteytys perustuu CVSS 3.1 -standardiin. Pisteytyskriteerit voidaan tarkistaa osoitteessa

(https://www.first.org/cvss/calculator/3.1）

Vähentäminen ja Korjaus

Suositeltu toimenpide:Asiakkaiden tulisi päivittää iSolarCloud Android App uusimpaan versioon virallisen sovelluskauppojen kautta.

Korjausjulkaisu: Nyt saatavilla.

Väliaikainen korjaus:Käyttäjien tulisi välttää yhdistämistä luottamattomiin verkkoihin ja ottaa käyttöön VPN-salaussovellusta käytettäessä.

Hyödyntämisen tila

Ei tunnettua hyväksikäyttöä luonnossa.

Kiitokset

Tämä haavoittuvuus löydettiin ja raportoitiin Forescout Technologies.

Lausunto

Kaikki Sungrow Power Supply Co., Ltd.:n tarjoamat ohjelmistopäivitykset, korjaukset ja dokumentaatio ovat Sungrowin omaisuutta. Näitä materiaaleja saa käyttää vain tuotteen ylläpitoon ja turvallisuusparannuksiin. Kaikki luvaton muokkaus, jakelu, dekompilointi tai käänteinen insinööri on tiukasti kielletty.

Sungrow ei tee mitään nimenomaisia tai implisiittisiä takuita koskien tarjottuja tietoja, mukaan lukien, mutta ei rajoittuen, myyntikelpoisuuden, soveltuvuuden tiettyyn tarkoitukseen tai patenttirikkomusten takuita. Sungrow ei ole vastuussa mistään suorista, välillisistä, sattumanvaraisista tai seurausvahingoista, jotka johtuvat tämän asiakirjan tai liittyvän ohjelmiston käytöstä.

Sungrow pidättää oikeuden päivittää tai muokata tätä asiakirjaa milloin tahansa ilman ennakkoilmoitusta. Asiakkaat vastaavat turvallisuuspäivitysten ajantasaisesta toteuttamisesta järjestelmiensä suojaamiseksi.