Sungrow iSolarCloud Android alkalmazás – beégetett MQTT-hitelesítő adatok sebezhetősége

Közzététel dátuma 2025-03-27

Az iSolarCloud Android alkalmazás és a felhőszolgáltatások hardkódolt MQTT hitelesítő adatokat használnak az eszköztelemetria cseréjéhez. Ez a sebezhetőség lehetővé teheti egy támadó számára, hogy lehallgassa és manipulálja a Sungrow eszközök és az iSolarCloud platform közötti kommunikációt, ami illetéktelen adathozzáféréshez vagy az eszköztelemetria feletti vezérléshez vezethet.

Érintett verziók

Sebezhetőek vagyunk:Minden verzió V2.1.6.20241017 és korábbiNem érintett:  V2.1.6.20241104 és későbbi verziók

Sérülékenységi besorolás

CVE-2024-50688: 5.3（AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N）
A pontszámítás a CVSS 3.1 szabványon alapul. A pontszámítási kritériumok az alábbi oldalon találhatók（https://www.first.org/cvss/calculator/3.1）

Enyhítés és orvoslás

Ajánlott teendő: Az ügyfeleknek az iSolarCloud Android alkalmazást a hivatalos alkalmazásbolton keresztül a legújabb verzióra kell frissíteniük.
Patch kiadás:Most elérhető.
Ideiglenes javítás: Korlátozza a külső hálózati hozzáférést az MQTT-brokerekhez, amíg a frissítés nem kerül alkalmazásra.

Hasznosítási állapot

Nincs ismert, a gyakorlatban történő kihasználás.

Köszönetnyilvánítás

Ezt a sebezhetőséget a Forescout Technologies fedezte fel és jelentette be.

Nyilatkozat

A Sungrow Power Supply Co., Ltd. által biztosított valamennyi szoftverfrissítés, javítás és dokumentáció a Sungrow kizárólagos tulajdona. Ezek az anyagok kizárólag a termék karbantartására és biztonsági fejlesztésére használhatók. Bármilyen jogosulatlan módosítás, terjesztés, visszafejtés vagy visszafejtési kísérlet szigorúan tilos.
 
A Sungrow sem kifejezett, sem hallgatólagos garanciát nem vállal a megadott információkra vonatkozóan, beleértve, de nem kizárólagosan az eladhatóságra, egy adott célra való alkalmasságra vagy a jogsértésmentességre vonatkozó garanciákat. A Sungrow nem felel a jelen dokumentum vagy a kapcsolódó szoftver használatából eredő közvetlen, közvetett, esetleges vagy következményes károkért.
 
A Sungrow fenntartja a jogot, hogy ezt a dokumentumot bármikor, előzetes értesítés nélkül frissítse vagy módosítsa. Az ügyfelek felelősek azért, hogy időben végrehajtsák a biztonsági frissítéseket rendszereik védelme érdekében.