【Varnostno obvestilo】Sungrow iSolarCloud Android aplikacija – ranljivost pri prezrtju preverjanja veljavnosti certifikata (CVE-2024-50691)

Datum objave: 20241230

Izdelek: Aplikacija iSolarCloud za Android
ID CVE: CVE-2024-50691
Resnost:Srednje

Datum: 20241230

Opis

Aplikacija iSolarCloud za Android izrecno prezre napake pri preverjanju potrdil SSL/TLS, zaradi česar je ranljiva za napade tipa človek v sredini (MitM). Napadalec bi lahko posnemal strežnik iSolarCloud, prestrezal ali spreminjal komunikacijo med mobilno aplikacijo in oblakom, kar bi lahko vodilo do nepooblaščenega dostopa ali manipulacije podatkov.

Prizadete različice

Ranljivo:Vse različice V2.1.6.20241104 in starejše

Ni prizadeto: V2.1.6.20241115 and later

Ocena ranljivosti

CVE-2024-50691：6.5（AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:N）

Ocenjevanje temelji na standardu CVSS 3.1. Merila za ocenjevanje so na voljo na

（https://www.first.org/cvss/calculator/3.1）

Ublažitev in odprava

Priporočeno dejanje: Stranke morajo posodobiti Aplikacija iSolarCloud za Android na najnovejšo različico prek uradne trgovine z aplikacijami.

Izdaja popravka: Na voljo zdaj.

Začasni popravek:Uporabniki naj se pri uporabi aplikacije iSolarCloud izogibajo povezovanju z javnimi ali nezaupanja vrednimi omrežji Wi-Fi.

Status izkoriščanja

Ni znanih izkoriščanj v praksi.

Zahvale

To ranljivost je odkril in prijavil Forescout Technologies.

Izjava

Vse posodobitve programske opreme, popravki in dokumentacija, ki jih zagotavlja podjetje Sungrow Power Supply Co., Ltd., so last podjetja Sungrow. Ti materiali se lahko uporabljajo samo za vzdrževanje izdelka in izboljšave varnosti. Vsaka nepooblaščena sprememba, distribucija, dekompilacija ali obratno inženirstvo je strogo prepovedano.

Podjetje Sungrow ne daje nobenih izrecnih ali implicitnih jamstev glede navedenih informacij, vključno, vendar ne omejeno na, jamstva o prodajnosti, primernosti za določen namen ali nekršitvi pravic. Sungrow ne odgovarja za nobeno neposredno, posredno, naključno ali posledično škodo, ki bi nastala zaradi uporabe tega dokumenta ali povezane programske opreme.

Sungrow si pridržuje pravico, da ta dokument kadar koli brez predhodnega obvestila posodobi ali spremeni. Stranke so odgovorne za pravočasno izvajanje varnostnih posodobitev, da zaščitijo svoje sisteme.