Data publikacji: 30.12.2024
Produkt: Aplikacja Android iSolarCloud
Identyfikator CVE: CVE-2024-50691
Surowość:Średni
Data:30.12.2024
Opis
Aplikacja iSolarCloud na Androida jawnie ignoruje błędy walidacji certyfikatów SSL/TLS, co czyni ją podatną na ataki Man-in-the-Middle (MitM). Atakujący mógłby podszyć się pod serwer iSolarCloud, przechwytując lub modyfikując komunikację między aplikacją mobilną a chmurą, co mogłoby prowadzić do nieautoryzowanego dostępu lub manipulacji danymi.
Dotknięte wersje
Narażony:Wszystkie wersje V2.1.6.20241104 i wcześniejsze
Nie dotknięty: V2.1.6.20241115 i nowsze
Ocena Podatności
CVE-2024-50691: 6.5 (AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:N)
Ocena opiera się na standardzie CVSS 3.1. Kryteria oceny można odnaleźć w
Łagodzenie i Remediacja
Zalecana akcja:Klienci powinni zaktualizować Aplikacja Android iSolarCloud do najnowszej wersji za pośrednictwem oficjalnego sklepu z aplikacjami.
Wydanie łatki:Dostępne teraz.
Tymczasowe Naprawienie:Użytkownicy powinni unikać łączenia się z publicznymi lub niezaufanymi sieciami Wi-Fi podczas korzystania z aplikacji iSolarCloud.
Status eksploatacji
Brak znanych przypadków wykorzystania w naturze.
Podziękowania
Ta luka została odkryta i zgłoszona przez Forescout Technologies.
Oświadczenie
Wszystkie aktualizacje oprogramowania, poprawki i dokumentacja dostarczone przez Sungrow Power Supply Co., Ltd. są własnością Sungrow. Materiały te mogą być używane wyłącznie do konserwacji produktu i poprawy bezpieczeństwa. Wszelkie nieautoryzowane modyfikacje, dystrybucja, dekompilacja lub inżynieria wsteczna są surowo zabronione.
Sungrow nie składa żadnych wyraźnych lub dorozumianych gwarancji dotyczących udostępnianych informacji, w tym, ale nie tylko, gwarancji dotyczących jakości handlowej, przydatności do określonego celu lub nie naruszania praw. Sungrow nie ponosi odpowiedzialności za jakiekolwiek bezpośrednie, pośrednie, przypadkowe lub następujące szkody wynikające z korzystania z tego dokumentu lub powiązanego oprogramowania.
Sungrow zastrzega sobie prawo do aktualizacji lub modyfikacji niniejszego dokumentu w dowolnym momencie bez uprzedniego powiadomienia. Klienci są odpowiedzialni za terminowe wdrażanie aktualizacji bezpieczeństwa w celu ochrony swoich systemów.
