【คำแนะนำด้านความปลอดภัย】แอป Android Sungrow iSolarCloud – ช่องโหว่การเข้ารหัสที่อ่อนแอ (CVE-2024-50684)

ผลิตภัณฑ์:แอป Android iSolarCloudรหัส CVE: CVE-2024-50684
ความรุนแรง:ปานกลาง

วันที่:20241230

คำอธิบาย

แอป iSolarCloud Android ใช้คีย์การเข้ารหัส AES ที่ไม่ปลอดภัย โดยมีความแปรผันไม่เพียงพอ ทำให้เสี่ยงต่อการถูกโจมตีทางคริปโตกราฟี ผู้โจมตีที่เข้าถึงการสื่อสารที่เข้ารหัสอาจสามารถถอดรหัสข้อมูลที่ถูกดักฟังได้ ซึ่งอาจเปิดเผยข้อมูลผู้ใช้ที่ละเอียดอ่อน

รุ่นที่ได้รับผลกระทบ

อ่อนแอ:รุ่นทั้งหมด V2.1.6.20241017 และก่อนหน้า

ไม่ได้รับผลกระทบ: V2.1.6.20241104 และหลังจากนี้

การจัดอันดับช่องโหว่

CVE-2024-50684：6.5 (AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:N）

การให้คะแนนอ้างอิงตามมาตรฐาน CVSS 3.1 เกณฑ์การให้คะแนนสามารถอ้างอิงได้ที่

（https://www.first.org/cvss/calculator/3.1）

การบรรเทาและการแก้ไข

คำแนะนำ:ลูกค้าควรอัปเดตแอป iSolarCloud สำหรับ Android ถึงเวอร์ชันล่าสุดผ่านแอปสโตร์อย่างเป็นทางการ

การเผยแพร่แพตช์: พร้อมใช้งานแล้ว

การแก้ไขชั่วคราว:ผู้ใช้ควรหลีกเลี่ยงการเชื่อมต่อกับเครือข่ายที่ไม่น่าเชื่อถือและเปิดใช้งาน การเข้ารหัส VPNเมื่อใช้แอป

สถานะการดำเนินงาน

ไม่มีการแสวงหาผลประโยชน์ที่รู้จักในโลกจริง

ข้อความขอบคุณ

ช่องโหว่นี้ถูกค้นพบและรายงานโดย Forescout Technologies.

คำแถลง

การอัปเดตซอฟต์แวร์ทั้งหมด แพตช์ และเอกสารที่ให้โดย Sungrow Power Supply Co., Ltd. เป็นงานเฉพาะของ Sungrow วัสดุเหล่านี้สามารถใช้สำหรับการบำรุงรักษาผลิตภัณฑ์และการปรับปรุงความปลอดภัยเท่านั้น ห้ามมิให้มีการปรับเปลี่ยน แจกจ่าย ถอดรหัส หรือวิศวกรรมย้อนกลับโดยไม่ได้รับอนุญาตอย่างเคร่งครัด

Sungrow ไม่รับประกันใด ๆ ทั้งโดยชัดแจ้งหรือโดยนัยเกี่ยวกับข้อมูลที่ให้มา รวมถึงแต่ไม่จำกัดเพียงการรับประกันการขายได้ ความเหมาะสมสำหรับวัตถุประสงค์เฉพาะ หรือการไม่ละเมิดสิทธิ Sungrow จะไม่รับผิดชอบต่อความเสียหายใด ๆ ไม่ว่าทางตรง ทางอ้อม เฉพาะหน้า หรือผลที่ตามมาที่เกิดจากการใช้เอกสารนี้หรือซอฟต์แวร์ที่เกี่ยวข้อง

Sungrow สงวนสิทธิ์ในการอัปเดตหรือแก้ไขเอกสารนี้ได้ทุกเวลาโดยไม่ต้องแจ้งให้ทราบล่วงหน้า ลูกค้ามีความรับผิดชอบในการติดตั้งการอัปเดตความปลอดภัยอย่างทันท่วงทีเพื่อปกป้องระบบของพวกเขา