【Aviso de Segurança】Aplicativo Android Sungrow iSolarCloud – Vulnerabilidade de chave de criptografia fraca (CVE-2024-50684)

Produto: iSolarCloud App para Android
ID de CVE: CVE-2024-50684
Severidade: Médio

Data: 20241230

Descrição

O aplicativo Android iSolarCloud usa uma chave de criptografia AES insegura com entropia insuficiente, tornando-o vulnerável a ataques criptográficos. Um invasor com acesso às comunicações criptografadas pode ser capaz de descriptografar dados interceptados, expondo potencialmente informações confidenciais do usuário.

Versões afetadas

Vulnerável:Todas as versões V2.1.6.20241017 e anteriores

Não afetado: V2.1.6.20241104 and later

Classificação de Vulnerabilidade

CVE-2024-50684：6.5 (AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:N）

A pontuação é baseada no padrão CVSS 3.1. Os critérios de pontuação podem ser consultados em

（https://www.first.org/cvss/calculator/3.1）

Mitigação e remediação

Ação recomendada: Os clientes devem atualizar o App Android iSolarCloud para a versão mais recente por meio da loja oficial de aplicativos.

Lançamento de patch: Disponível agora.

Correção temporária: Os usuários devem evitar conectar-se a redes não confiáveis e ativar Criptografia VPN ao usar o aplicativo.

Status de exploração

Nenhuma exploração conhecida em ambiente real.

Agradecimentos

Esta vulnerabilidade foi descoberta e relatada por Forescout Technologies.

Declaração

Todas as atualizações de software, correções e documentação fornecidas pela Sungrow Power Supply Co., Ltd. são propriedade da Sungrow. Estes materiais só podem ser utilizados para manutenção de produtos e melhorias de segurança. Qualquer modificação, distribuição, descompilação ou engenharia reversa não autorizada é estritamente proibida.

A Sungrow não oferece garantias expressas ou implícitas quanto às informações fornecidas, incluindo, entre outras, garantias de comercialização, adequação a uma finalidade específica ou não violação de direitos. A Sungrow não será პასუხისმგável por quaisquer danos diretos, indiretos, incidentais ou consequenciais decorrentes do uso deste documento ou do software associado.

A Sungrow reserva-se o direito de atualizar ou modificar este documento a qualquer momento, sem aviso prévio. Os clientes são responsáveis por implementar as atualizações de segurança em tempo hábil para proteger seus sistemas.