【Avis de sécurité】Application Android Sungrow iSolarCloud – Vulnérabilité de clé de chiffrement faible (CVE-2024-50684)

Produit :Application Android iSolarCloudIdentifiant CVE : CVE-2024-50684
Gravité :Moyen

Date :30 décembre 2024

Description

L'application Android iSolarCloud utilise une clé de chiffrement AES non sécurisée avec une entropie insuffisante, la rendant vulnérable aux attaques cryptographiques. Un attaquant ayant accès aux communications chiffrées pourrait être capable de déchiffrer les données interceptées, exposant potentiellement des informations utilisateur sensibles.

Versions Affectées

Vulnérable :Toutes les versions V2.1.6.20241017 et antérieures

Non Affecté :V2.1.6.20241104 et versions ultérieures

Évaluation de la vulnérabilité

CVE-2024-50684 : 6,5 (AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:N)

Le score est basé sur la norme CVSS 3.1. Les critères de notation peuvent être référencés sur

（https://www.first.org/cvss/calculator/3.1）

Atténuation et Remédiation

Action recommandée :Les clients doivent mettre à jour leApplication Android iSolarCloud vers la dernière version via la boutique d'applications officielle.

Publication de correctif : Disponible maintenant.

Correctif temporaire :Les utilisateurs doivent éviter de se connecter à des réseaux non fiables et activer Chiffrement VPN lors de l'utilisation de l'application.

Statut d'exploitation

Aucune exploitation connue dans la nature.

Remerciements

Cette vulnérabilité a été découverte et signalée parForescout Technologies.

Déclaration

Toutes les mises à jour logicielles, correctifs et documentation fournis par Sungrow Power Supply Co., Ltd. sont des œuvres propriétaires de Sungrow. Ces matériaux ne peuvent être utilisés que pour la maintenance du produit et les améliorations de sécurité. Toute modification, distribution, décompilation ou ingénierie inverse non autorisée est strictement interdite.

Sungrow ne fait aucune garantie expresse ou implicite concernant les informations fournies, y compris mais sans s'y limiter, les garanties de qualité marchande, d'adéquation à un usage particulier ou de non-contrefaçon. Sungrow ne sera pas responsable de tout dommage direct, indirect, accessoire ou consécutif découlant de l'utilisation de ce document ou du logiciel associé.

Sungrow se réserve le droit de mettre à jour ou de modifier ce document à tout moment sans préavis. Les clients sont responsables de la mise en œuvre des mises à jour de sécurité en temps opportun pour protéger leurs systèmes.