【Συμβουλή Ασφαλείας】Sungrow WiNet-S – Ευπάθεια Μη Κατάλληλου Ελέγχου Ακεραιότητος Λογισμικού (CVE-2024-50696)

Ημερομηνία Δημοσίευσης: 20241230

Προϊόν: Sungrow WiNet-SCVE ID:CVE-2024-50696Σοβαρότητα: Υψηλή

Ημερομηνία:30/12/2024

Περιγραφή

Το υλισμικό Sungrow WiNet-S στερείται κατάλληλων ελέγχων ακεραιότητας κατά τη διαδικασία ενημέρωσης. Αυτή η ευπάθεια επιτρέπει σε έναν εισβολέα να στείλει ένα συγκεκριμένο μήνυμα MQTT για να εγκαταστήσει ένα ψεύτικο αρχείο υλισμικού που φιλοξενείται σε έναν διακομιστή που ελέγχεται από τον εισβολέα. Αυτό θα μπορούσε να οδηγήσει σε κακόβουλες τροποποιήσεις, μη εξουσιοδοτημένο έλεγχο ή αχρηστευση των επηρεαζόμενων συσκευών.

Επηρεασμένες Εκδόσεις

Ευάλωτος: WINET-SV200.001.00.P025 και παλαιότερες εκδόσεις

Δεν Επηρεάζεται: WINET-SV200.001.00.P026 και νεότερα

Βαθμολόγηση Ευπάθειας

CVE-2024-50696：8.1（AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H）

Η βαθμολόγηση βασίζεται στο πρότυπο CVSS 3.1. Τα κριτήρια βαθμολόγησης μπορούν να αναφερθούν σε

（https://www.first.org/cvss/calculator/3.1)

Περιορισμός και Αποκατάσταση

Προτεινόμενη Δράση:Οι πελάτες πρέπει να αναβαθμίσουν στην έκδοση υλικολογισμικού WINET-SV200.001.00.P026 ή ανώτερο.

Εκδόση Διορθώσεων: Διαθέσιμο τώρα.

Προσωρινή Διόρθωση: Περιορίστε την πρόσβαση στο δίκτυο για να αποτραπούν μη εξουσιοδοτημένες εγκαταστάσεις υλικολογισμικού μέχρι να ολοκληρωθεί μια αναβάθμιση.

Κατάσταση Εκμετάλλευσης

Καμία γνωστή εκμετάλλευση στη φύση.

Ευχαριστίες

Αυτή η ευπάθεια ανακαλύφθηκε και αναφέρθηκε εσωτερικά από την εταιρεία.

Δήλωση

Όλες οι ενημερώσεις λογισμικού, οι επιδιορθώσεις και η τεκμηρίωση που παρέχονται από τη Sungrow Power Supply Co., Ltd. είναι δημιουργήματα ιδιοκτησίας της Sungrow. Αυτά τα υλικά μπορούν να χρησιμοποιηθούν μόνο για τη συντήρηση του προϊόντος και τις βελτιώσεις ασφαλείας. Απαγορεύεται αυστηρά οποιαδήποτε μη εξουσιοδοτημένη τροποποίηση, διανομή, αποσύνθεση ή αντίστροφη μηχανική.

Η Sungrow δεν παρέχει ρητές ή σιωπηρές εγγυήσεις σχετικά με τις πληροφορίες που παρέχονται, συμπεριλαμβανομένων, αλλά όχι περιορισμένων σε, εγγυήσεις εμπορευσιμότητας, καταλληλότητας για συγκεκριμένο σκοπό ή μη παραβίασης. Η Sungrow δεν θα είναι υπεύθυνη για οποιεσδήποτε άμεσες, έμμεσες, τυχαίες ή επακόλουθες ζημίες που προκύπτουν από τη χρήση αυτού του εγγράφου ή του σχετικού λογισμικού.

Ο Sungrow διατηρεί το δικαίωμα να ενημερώσει ή να τροποποιήσει αυτό το έγγραφο ανά πάσα στιγμή χωρίς προειδοποίηση. Οι πελάτες είναι υπεύθυνοι για την έγκαιρη εφαρμογή ενημερώσεων ασφαλείας για να προστατεύσουν τα συστήματά τους.