Το Sungrow iSolarCloud Android APP – Τρωτότητα Σκληροκοπισμένων Διαπιστευτηρίων MQTT

Ημερομηνία Δημοσίευσης 2025-03-27

Η εφαρμογή Android iSolarCloud και οι υπηρεσίες cloud χρησιμοποιούν σταθερές διαπιστευτήρια MQTT για την ανταλλαγή τηλεμετρίας συσκευών. Αυτή η τρωτότητα θα μπορούσε να επιτρέψει σε έναν επιτιθέμενο να αναχαιτίσει και να χειραγωγήσει την επικοινωνία μεταξύ των συσκευών Sungrow και της πλατφόρμας iSolarCloud, με πιθανότητα να οδηγήσει σε μη εξουσιοδοτημένη πρόσβαση σε δεδομένα ή έλεγχο της τηλεμετρίας συσκευών.

Επηρεασμένες Εκδόσεις

Εμείς Ευάλωτοι:Όλες οι εκδόσεις V2.1.6.20241017 και παλαιότερες
Δεν Επηρεάζεται:V2.1.6.20241104 και νεότερες

Βαθμολόγηση Ευπάθειας

CVE-2024-50688: 5.3 (AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N)
Η βαθμολόγηση βασίζεται στο πρότυπο CVSS 3.1. Τα κριτήρια βαθμολόγησης μπορούν να αναφερθούν σε (https://www.first.org/cvss/calculator/3.1)

Περιορισμός και Αποκατάσταση

Προτεινόμενη Δράση:Οι πελάτες θα πρέπει να ενημερώσουν την εφαρμογή iSolarCloud Android στην τελευταία έκδοση μέσω του επίσημου κατάστηματος εφαρμογών.
Αποδέσμευση Πακέτου: Διαθέσιμο τώρα.Προσωρινή Διόρθωση:Περιορίστε την πρόσβαση εξωτερικού δικτύου στους διακομιστές MQTT μέχρι να εφαρμοστεί η αναβάθμιση.

Κατάσταση Εκμετάλλευσης

Καμία γνωστή εκμετάλλευση στη φύση.

Ευχαριστίες

Αυτή η ευπάθεια ανακαλύφθηκε και αναφέρθηκε από τις Forescout Technologies.

Δήλωση

Όλες οι ενημερώσεις λογισμικού, επιδιόρθωση και τεκμηρίωση που παρέχονται από την Sungrow Power Supply Co., Ltd. είναι ιδιοκτησιακό έργο της Sungrow. Αυτά τα υλικά μπορούν να χρησιμοποιηθούν μόνο για συντήρηση προϊόντων και βελτιώσεις ασφαλείας. Απαγορεύεται αυστηρά οποιαδήποτε μη εξουσιοδοτημένη τροποποίηση, διανομή, αποσύνδεση ή ανάστροφη μηχανική.
 
Η Sungrow δεν παρέχει ρητές ή σιωπηρές εγγυήσεις σχετικά με τις πληροφορίες που παρέχονται, συμπεριλαμβανομένων, αλλά όχι περιοριζόμενων σε, εγγυήσεις εμπορικής ικανότητας, καταλληλότητας για συγκεκριμένο σκοπό ή μη παραβίασης. Η Sungrow δεν θα είναι υπεύθυνη για οποιεσδήποτε άμεσες, έμμεσες, τυχαίες ή επακόλουθες ζημίες που προκύπτουν από τη χρήση αυτού του εγγράφου ή του σχετικού λογισμικού.
 
Η Sungrow διατηρεί το δικαίωμα να ενημερώσει ή να τροποποιήσει αυτό το έγγραφο ανά πάσα στιγμή χωρίς προηγούμενη ειδοποίηση. Οι πελάτες είναι υπεύθυνοι για την έγκαιρη εφαρμογή ενημερώσεων ασφαλείας για την προστασία των συστημάτων τους.