【Консультація з безпеки】Sungrow WiNet-S – Уразливість жорстко заданого пароля WebUI (CVE-2024-50690)

Дата публікації: 20241230

Продукт: Sungrow WiNet-SІдентифікатор CVE:CVE-2024-50690Серйозність: Середній

Дата:20241230

Опис

Веб-інтерфейс Sungrow WiNet-S містить закодований пароль, який дозволяє розшифрувати файли оновлення прошивки. Зловмисники, які отримають доступ до цього пароля, можуть розшифрувати та перевірити оновлення прошивки, потенційно виявляючи вразливості або модифікуючи прошивку перед впровадженням.

Уражені Версії

Уразливий:WINET-SV200.001.00.P027 та попередні версії

Не впливає:WINET-SV200.001.00.P028 і пізніше

Рейтинг вразливості

CVE-2024-50690: 6,5 (AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:H/A:N)

Оцінка базується на стандарті CVSS 3.1. Критерії оцінки можна знайти за посиланням на

（https://www.first.org/cvss/calculator/3.1）

Пом'якшення та відновлення

Рекомендована дія:Клієнти повинні оновити до версії вбудованого програмного забезпечення WINET-SV200.001.00.P028 або вище.

Випуск патча:Доступно зараз.

Тимчасове виправлення:Обмежити доступ до WebUI довіреними IP-адресами до завершення оновлення.

Стансфукціонування

Немає відомих атак у реальному середовищі.

Подяки

Цю вразливість було виявлено та повідомленоForescout Technologies.

Заява

Усі оновлення програмного забезпечення, патчі та документація, надані Sungrow Power Supply Co., Ltd., є власністю Sungrow. Ці матеріали можуть використовуватися лише для обслуговування продуктів та покращення безпеки. Будь-яке несанкціоноване модифікування, розповсюдження, декомпіляція або зворотна розробка суворо заборонені.

Sungrow не надає жодних явних або непрямих гарантій щодо наданої інформації, включаючи, але не обмежуючись, гарантіями товарної придатності, придатності для певної мети або не порушення прав. Sungrow не несе відповідальності за будь-які прямі, непрямі, випадкові чи наслідкові збитки, що виникають від використання цього документа або пов'язаного програмного забезпечення.

Sungrow залишає за собою право оновлювати або змінювати цей документ у будь-який час без попереднього повідомлення. Клієнти несуть відповідальність за своєчасне впровадження оновлень безпеки для захисту своїх систем.