【Poradnik bezpieczeństwa】Sungrow WiNet-S – Luka przepełnienia bufora (CVE-2024-50698)

Data publikacji: 30.12.2024

Produkt: Sungrow WiNet-S
Identyfikator CVE: CVE-2024-50698
Surowość:Wysoki

Data:30.12.2024

Opis

Luka przepełnienia bufora istnieje w produktach Sungrow WiNet-S. Atakujący może wykorzystać tę lukę do wywołania warunku Odmowy Usługi (DoS) lub wykonania Zdalnego Wykonywania Kodu (RCE), co potencjalnie może prowadzić do nieautoryzowanej kontroli nad dotkniętymi urządzeniami.

Dotknięte wersje

Narażony: WINET-SV200.001.00.P027 i wcześniejsze wersje

Nie dotknięty: WINET-SV200.001.00.P028 i później

Ocena Podatności

CVE-2024-50698：8.1（AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H）

Ocena opiera się na standardzie CVSS 3.1. Kryteria oceny można odnaleźć w

(https://www.first.org/cvss/calculator/3.1）

Łagodzenie i Remediacja

Zalecana akcja:Klienci powinni zaktualizować do wersji oprogramowania sprzętowego WINET-SV200.001.00.P028 or higher.

Wydanie łatki:Dostępne teraz.

Tymczasowe Naprawienie:Ogranicz dostęp do sieci, aby zapobiec nieautoryzowanym połączeniom do czasu ukończenia aktualizacji.

Status eksploatacji

Brak znanych przypadków wykorzystania w naturze.

Podziękowania

Ta luka została odkryta i zgłoszona przez Forescout Technologies.

Oświadczenie

Wszystkie aktualizacje oprogramowania, poprawki i dokumentacja dostarczone przez Sungrow Power Supply Co., Ltd. są własnością Sungrow. Materiały te mogą być używane wyłącznie do konserwacji produktu i poprawy bezpieczeństwa. Wszelkie nieautoryzowane modyfikacje, dystrybucja, dekompilacja lub inżynieria wsteczna są surowo zabronione.

Sungrow nie składa żadnych wyraźnych lub dorozumianych gwarancji dotyczących udostępnianych informacji, w tym, ale nie tylko, gwarancji dotyczących jakości handlowej, przydatności do określonego celu lub nie naruszania praw. Sungrow nie ponosi odpowiedzialności za jakiekolwiek bezpośrednie, pośrednie, przypadkowe lub następujące szkody wynikające z korzystania z tego dokumentu lub powiązanego oprogramowania.

Sungrow zastrzega sobie prawo do aktualizacji lub modyfikacji niniejszego dokumentu w dowolnym momencie bez uprzedniego powiadomienia. Klienci są odpowiedzialni za terminowe wdrażanie aktualizacji bezpieczeństwa w celu ochrony swoich systemów.