【Biztonsági közlemény】Sungrow iSolarCloud Android alkalmazás – gyenge titkosítási kulcs sebezhetőség (CVE-2024-50684)
Termék:iSolarCloud Android alkalmazásCVE-azonosító: CVE-2024-50684
Súlyosság: Közepes
Dátum: 20241230
Leírás
Az iSolarCloud Android alkalmazás nem biztonságos AES titkosítási kulcsot használ, amelynek entrópiája nem megfelelő, így kriptográfiai támadásoknak van kitéve. Egy támadó, aki hozzáfér a titkosított kommunikációhoz, képes lehet visszafejteni az elfogott adatokat, és ezzel potenciálisan érzékeny felhasználói információkat tárhat fel.
Érintett verziók
Sebezhető:Az összes verzió V2.1.6.20241017 és korábbi
Nem érintett:V2.1.6.20241104 and later
Sérülékenységi besorolás
CVE-2024-50684：6.5 (AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:N）
A pontszámítás a CVSS 3.1 szabványon alapul. A pontozási kritériumok itt tekinthetők meg:
Enyhítés és orvoslás
Javasolt intézkedés: Az ügyfeleknek frissíteniük kell a iSolarCloud Android-alkalmazás a legújabb verzióra az hivatalos alkalmazásáruházon keresztül.
Javítási kiadás: Most elérhető.
Ideiglenes javítás: A felhasználóknak kerülniük kell a megbízhatatlan hálózatokhoz való csatlakozást, és engedélyezniük kell VPN titkosítás az alkalmazás használatakor.
Hasznosítási állapot
Nincs ismert, a gyakorlatban történő kihasználás.
Köszönetnyilvánítás
Ezt a sebezhetőséget ... fedezte fel és jelentette be Forescout Technologies.
Nyilatkozat
A Sungrow Power Supply Co., Ltd. által biztosított összes szoftverfrissítés, javítás és dokumentáció a Sungrow saját tulajdonú munkája. Ezek az anyagok kizárólag termékkarbantartásra és biztonsági fejlesztésekre használhatók. Bármilyen jogosulatlan módosítás, terjesztés, dekompilálás vagy visszafejtés szigorúan tilos.
A Sungrow nem vállal kifejezett vagy hallgatólagos garanciát a megadott információkra vonatkozóan, beleértve többek között az eladhatóságra, egy adott célra való alkalmasságra vagy jogsértésmentességre vonatkozó garanciákat. A Sungrow nem felel semmilyen közvetlen, közvetett, járulékos vagy következményes kárért, amely jelen dokumentum vagy a kapcsolódó szoftver használatából ered.
A Sungrow fenntartja a jogot, hogy ezt a dokumentumot bármikor, előzetes értesítés nélkül frissítse vagy módosítsa. Az ügyfelek felelősek a biztonsági frissítések időben történő telepítéséért rendszereik védelme érdekében.