【セキュリティアドバイザリ】Sungrow WiNet-S – 不適切なファームウェア完全性チェックの脆弱性（CVE-2024-50696）
発行日: 2024年12月30日
製品: Sungrow WiNet-S
CVE ID： CVE-2024-50696
重大度：高
日付：20241230
説明
サングロウWiNet-Sファームウェアは、更新プロセス中に適切な完全性チェックを欠いています。この脆弱性により、攻撃者は特定のMQTTメッセージを送信して、攻撃者制御のサーバー上にホストされた偽のファームウェアファイルをインストールできます。これにより、影響を受けるデバイスへの悪意のある改変、不正な制御、またはブリック化が発生する可能性があります。
影響を受けるバージョン
脆弱: WINET-SV200.001.00.P025およびそれ以前のバージョン
影響なし： WINET-SV200.001.00.P026以降
脆弱性評価
CVE-2024-50696：8.1（AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H）
スコアリングはCVSS 3.1標準に基づいています。スコアリング基準は、
軽減と修復
推奨アクション： お客様はファームウェアバージョン にアップグレードする必要がありますWINET-SV200.001.00.P026またはそれ以上。
パッチリリース： 現在利用可能です。
一時的な修正：アップグレードが完了するまで、不正なファームウェアインストールを防ぐためにネットワークアクセスを制限します。
開発状況
野生での既知の悪用はありません。
謝辞
この脆弱性は、同社内部で発見・報告されました。
声明
サングロウ電源株式会社が提供するすべてのソフトウェアアップデート、パッチ、および文書は、サングロウの所有物です。これらの資料は製品のメンテナンスとセキュリティ向上のためにのみ使用できます。無断での改変、配布、逆コンパイル、またはリバースエンジニアリングは厳禁です。
サングロウは、提供される情報について、商品性、特定目的への適合性、または非侵害に関する保証を含むがこれに限定されない、明示的または黙示的な保証を一切行いません。サングロウは、この文書または関連ソフトウェアの使用から生じる直接的、間接的、偶発的、または結果的損害について責任を負いません。
Sungrowは、事前の通知なくいつでもこの文書を更新または変更する権利を留保します。顧客は、システムを保護するためにセキュリティアップデートをタイムリーに実装する責任があります。