Sungrow iSolarCloud Android APP – вразливість закодованих облікових даних MQTT

Дата публікації 2025-03-27

Додаток iSolarCloud для Android та хмарні послуги використовують жорстко запрограмовані облікові дані MQTT для обміну телеметрією пристрою. Ця вразливість може дозволити зловмиснику перехопити та маніпулювати комунікацією між пристроями Sungrow та платформою iSolarCloud, потенційно призводячи до несанкціонованого доступу до даних або контролю над телеметрією пристрою.

Уражені Версії

Ми вразливі:Усі версії V2.1.6.20241017 та старішіНе впливає:V2.1.6.20241104 та пізніше

Рейтинг вразливості

CVE-2024-50688: 5.3 (AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N)
Оцінка базується на стандарті CVSS 3.1. Критерії оцінки можна знайти на (https://www.first.org/cvss/calculator/3.1）

Пом'якшення та відновлення

Рекомендована дія:Клієнти повинні оновити Android додаток iSolarCloud до останньої версії через офіційний магазин додатків.Випуск патча:Доступно зараз.Тимчасове виправлення: Обмежте зовнішній доступ до мережі для брокерів MQTT до застосування оновлення.

Стансфукціонування

Немає відомих атак у реальному середовищі.

Подяки

Цю вразливість було виявлено та повідомлено компанією Forescout Technologies.

Заява

Всі оновлення програмного забезпечення, латки та документація, надані компанією Sungrow Power Supply Co., Ltd., є власністю Sungrow. Ці матеріали можуть використовуватися лише для технічного обслуговування продуктів та покращення безпеки. Будь-яке несанкціоноване модифікування, розповсюдження, декомпіляція або зворотна розробка суворо заборонені.
 
Sungrow не надає жодних явних або припущених гарантій щодо наданої інформації, включаючи, але не обмежуючись, гарантіями товарності, придатності для певної мети або непорушення прав. Sungrow не несе відповідальності за будь-які прямі, непрямі, випадкові або наслідкові збитки, що виникають внаслідок використання цього документа або пов’язаного програмного забезпечення.
 
Sungrow залишає за собою право оновлювати або змінювати цей документ у будь-який час без попереднього повідомлення. Клієнти відповідають за своєчасне впровадження оновлень безпеки для захисту своїх систем.