【セキュリティアドバイザリー】Sungrow iSolarCloud – orgService APIにおける安全でない直接オブジェクト参照（IDOR）（CVE-2024-50689）
発行日: 2024年12月30日
製品: iSolarCloud
CVE ID：CVE-2024-50689重大度：高
日付：20241230
説明
iSolarCloud orgService APIは、安全でない直接オブジェクト参照（IDOR）に対して脆弱です。攻撃者はこの問題を悪用して、適切な認証なしに組織データにアクセスおよび変更し、組織全体の設定の不正な変更、機密ビジネスデータの漏洩、サービスの中断を引き起こす可能性があります。
影響を受けるバージョン
脆弱:2024年10月31日に是正されたiSolarCloud commonServiceの脆弱性は、緩和される前にシステムをセキュリティリスクにさらしていました。
影響なし： 2024年10月31日に修正されたiSolarCloud commonServiceの脆弱性は、解決以降、システムにリスクをもたらしていません。
脆弱性評価
CVE-2024-50689：8.2（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N）
スコアリングはCVSS 3.1標準に基づいています。スコアリング基準は、
軽減と修復
推奨アクション：iSolarCloudは、2024年10月31日に顧客の操作なしでアップグレードおよび修復されました。
パッチリリース：該当なし。
一時的な修正：該当なし。
開発状況
野生での既知の悪用はありません。
謝辞
この脆弱性は、以下によって発見および報告されました：Forescout Technologies。
声明
サングロウ電源株式会社が提供するすべてのソフトウェアアップデート、パッチ、および文書は、サングロウの所有物です。これらの資料は製品のメンテナンスとセキュリティ向上のためにのみ使用できます。無断での改変、配布、逆コンパイル、またはリバースエンジニアリングは厳禁です。
サングロウは、提供される情報について、商品性、特定目的への適合性、または非侵害に関する保証を含むがこれに限定されない、明示的または黙示的な保証を一切行いません。サングロウは、この文書または関連ソフトウェアの使用から生じる直接的、間接的、偶発的、または結果的損害について責任を負いません。
Sungrowは、事前の通知なくいつでもこの文書を更新または変更する権利を留保します。顧客は、システムを保護するためにセキュリティアップデートをタイムリーに実装する責任があります。