公開日 2025-03-27
iSolarCloud Androidアプリケーションおよびクラウドサービスは、デバイステレメトリの交換にハードコードされたMQTT資格情報を使用しています。この脆弱性により、攻撃者はSungrowデバイスとiSolarCloudプラットフォーム間の通信を傍受および操作し、不正なデータアクセスやデバイステレメトリの制御につながる可能性があります。
影響を受けるバージョン
私たち脆弱な：すべてのバージョン V2.1.6.20241017 およびそれ以前影響なし：V2.1.6.20241104以降
脆弱性評価
CVE-2024-50688：5.3（AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N）
スコアリングはCVSS 3.1標準に基づいています。スコアリング基準は（https://www.first.org/cvss/calculator/3.1）
軽減と修復
推奨アクション: 顧客は公式アプリストアを通じてiSolarCloud Androidアプリを最新バージョンに更新する必要があります。
パッチリリース:現在利用可能です。一時的な修正: アップグレードが適用されるまで、MQTTブローカーへの外部ネットワークアクセスを制限してください。
開発状況
野生での既知の悪用はありません。
謝辞
この脆弱性はForescout Technologiesによって発見および報告されました。
声明
サングロー電源株式会社によって提供されるすべてのソフトウェアアップデート、パッチ、およびドキュメントは、サングローの専有作品です。これらの資料は、製品のメンテナンスとセキュリティ向上のためにのみ使用できます。無断での改変、配布、逆コンパイル、またはリバースエンジニアリングは固く禁じられています。
サングローは、提供される情報について、商品性、特定目的への適合性、または非侵害性を含むがこれに限らない、明示または黙示の保証を一切行いません。サングローは、このドキュメントまたは関連ソフトウェアの使用から生じる直接的、間接的、偶発的、または結果的損害について責任を負いません。
サングローは、事前の通知なしにいつでもこのドキュメントを更新または変更する権利を留保します。顧客は、システムを保護するためにセキュリティアップデートをタイムリーに実施する責任があります。
