Ranljivost v aplikaciji Sungrow iSolarCloud za Android – trdo kodirane poverilnice MQTT

Datum objave 2025-03-27

Aplikacija iSolarCloud za Android in storitve v oblaku uporabljajo MQTT poverilnice, zapisane neposredno v kodi, za izmenjavo telemetrije naprav. Ta ranljivost bi lahko napadalcu omogočila prestrezanje in manipulacijo komunikacije med napravami Sungrow in platformo iSolarCloud, kar bi lahko privedlo do nepooblaščenega dostopa do podatkov ali nadzora nad telemetrijo naprav.

Prizadete različice

Ranljivi smo:Vse različice V2.1.6.20241017 in starejše
Ni prizadeto: V2.1.6.20241104 and later

Ocena ranljivosti

CVE-2024-50688: 5.3（AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N）
Točkovanje temelji na standardu CVSS 3.1. Merila točkovanja si lahko ogledate na（https://www.first.org/cvss/calculator/3.1）

Ublažitev in odprava

Priporočeni ukrep: Uporabniki naj posodobijo aplikacijo iSolarCloud za Android na najnovejšo različico prek uradne trgovine z aplikacijami.
Popravna izdaja: Na voljo zdaj.
Začasni popravek: Omejite zunanji omrežni dostop do posrednikov MQTT, dokler nadgradnja ni izvedena.

Status izkoriščanja

Ni znanih izkoriščanj v praksi.

Zahvale

To ranljivost je odkrilo in prijavilo podjetje Forescout Technologies.

Izjava

Vse posodobitve programske opreme, popravki in dokumentacija, ki jih zagotavlja podjetje Sungrow Power Supply Co., Ltd., so lastniško delo podjetja Sungrow. Ti materiali se lahko uporabljajo samo za vzdrževanje izdelkov in izboljšave varnosti. Vsako nepooblaščeno spreminjanje, distribuiranje, dekompiliranje ali obratni inženiring je strogo prepovedano.

Podjetje Sungrow ne daje izrecnih ali implicitnih jamstev glede posredovanih informacij, vključno, vendar ne omejeno na, jamstva o primernosti za prodajo, primernosti za določen namen ali nekršitvi pravic. Podjetje Sungrow ne odgovarja za nobeno neposredno, posredno, naključno ali posledično škodo, ki izhaja iz uporabe tega dokumenta ali povezane programske opreme.

Podjetje Sungrow si pridržuje pravico, da kadar koli brez predhodnega obvestila posodobi ali spremeni ta dokument. Stranke so odgovorne za pravočasno izvajanje varnostnih posodobitev za zaščito svojih sistemov.