【Güvenlik Danışmanlığı】Sungrow iSolarCloud'daki MQTT uygulaması, kullanıcıların invertör verilerine abone olmasına izin verdi (CVE-2025-29756)
Yayın Tarihi: 20250710
Ürün: iSolarCloud
CVE Kimliği: CVE-2025-29756
Şiddet: YÜKSEK
Tarih: [20250710]
Açıklama
Sungrow'un arka uç kullanıcı sistemi iSolarCloud, kullanıcının bağlı cihazlarından verileri kullanıcının web tarayıcısına taşımak için bir MQTT hizmeti kullanır.
Ancak, MQTT sunucusu, bir kullanıcının abone olabileceği konuları sınırlamak için yeterli kısıtlamalara sahip değildi.
Bir hesap ile yapılan bir saldırı iSolarCloud.comtarayıcıdan MQTT kimlik bilgilerini ve şifre çözme anahtarını çıkarabilir ve ardından '#' konusuna abone olmak için harici bir program kullanabilir ve böylece tüm bağlı cihazlardan gelen tüm mesajları alabilir.
Etkilenen Sürümler
Zayıf:7 Haziran 2025'te düzeltilen iSolarCloud commonService güvenlik açığı, azaltılmadan önce sistemi güvenlik risklerine maruz bırakmıştı.
Etkilenmeyen: 7 Haziran 2025'te düzeltilen iSolarCloud commonService güvenlik açığı, çözülmesinden bu yana sisteme hiçbir risk oluşturmamıştır.
Güvenlik Açığı Derecelendirmesi
CVE-2025-29756:8.4 (/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N/AU:Y/V:C）
Puanlama CVSS 4.0 standardına dayanmaktadır. Puanlama kriterlerine şu adresten başvurulabilir:
Azaltma ve İyileştirme
Önerilen Eylem:iSolarCloud, 7 Haziran 2025 tarihinde müşteri müdahalesi olmadan yükseltilmiş ve onarılmıştır.
Yama Yayınlama: Uygulanamaz.
Geçici Çözüm: Uygulanamaz.
İstismar Durumu
Vahşi doğada bilinen bir sömürü yok.
Teşekkürler
Bu güvenlik açığı keşfedildi ve rapor edildi DIVD'den Harm van den Brink.
Beyan
Sungrow Power Supply Co., Ltd. tarafından sağlanan tüm yazılım güncellemeleri, yamaları ve dokümantasyonu Sungrow'un özel çalışmasıdır. Bu materyaller yalnızca ürün bakımı ve güvenlik iyileştirmeleri için kullanılabilir. Herhangi bir izinsiz değişiklik, dağıtım, tersine mühendislik veya geri çözümleme kesinlikle yasaktır.
Sungrow, sağlanan bilgilerle ilgili hiçbir açık veya zımni garanti vermez; ticari kullanılabilirlik, belirli bir amaca uygunluk veya ihlal edilmeme garantileri dahil ancak bunlarla sınırlı olmamak üzere. Sungrow, bu belge veya ilişkili yazılımın kullanımından kaynaklanan doğrudan, dolaylı, tesadüfi veya sonuçsal zararlardan sorumlu tutulamaz.
Sungrow, bu belgeyi önceden bildirimde bulunmaksızın istediği zaman güncelleme veya değiştirme hakkını saklı tutar. Müşteriler, sistemlerini korumak için güvenlik güncellemelerini zamanında uygulamaktan sorumludur.