【Thông báo Bảo mật】Việc triển khai MQTT trong Sungrow iSolarCloud cho phép người dùng đăng ký nhận dữ liệu của bộ biến tần (CVE-2025-29756)

Publish Date: 20250710

Sản phẩm: iSolarCloud

Mã CVE: CVE-2025-29756

Mức độ nghiêm trọng: CAO

Ngày: [20250710]

Mô tả

Hệ thống back-end người dùng iSolarCloud của Sungrow sử dụng dịch vụ MQTT để truyền dữ liệu từ các thiết bị kết nối của người dùng tới trình duyệt web của họ.

Tuy nhiên, máy chủ MQTT không đặt đủ các hạn chế để giới hạn các chủ đề mà người dùng có thể đăng ký.

Một cuộc tấn công với một tài khoản trên iSolarCloud.com có thể trích xuất thông tin đăng nhập MQTT và khóa giải mã từ trình duyệt, sau đó sử dụng một chương trình bên ngoài để đăng ký vào chủ đề '#' và do đó nhận tất cả các thông điệp từ tất cả các thiết bị đã kết nối.

Phiên bản bị ảnh hưởng

Dễ bị tổn thương:Lỗ hổng iSolarCloud commonService, đã được khắc phục vào ngày 7 tháng 6 năm 2025, đã khiến hệ thống phải đối mặt với các rủi ro bảo mật trước khi được xử lý.

Không bị ảnh hưởng: Lỗ hổng commonService của iSolarCloud, đã được khắc phục vào June 7, 2025, kể từ đó không còn gây ra rủi ro cho hệ thống.

Đánh giá mức độ dễ bị tổn thương

CVE-2025-29756:8.4 (/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N/AU:Y/V:C）

Việc chấm điểm dựa trên tiêu chuẩn CVSS 4.0. Tiêu chí chấm điểm có thể được tham khảo tại

（https://www.first.org/cvss/calculator/4.0）

Giảm thiểu và khắc phục

Hành động được khuyến nghị: iSolarCloud đã được nâng cấp và sửa chữa vào ngày 7 tháng 6 năm 2025, mà không cần hành động từ khách hàng.

Phát hành bản vá:Không áp dụng.

Giải pháp tạm thời:Không áp dụng.

Tình trạng khai thác

Chưa có khai thác nào được ghi nhận trên thực tế.

Lời cảm ơn

Lỗ hổng này được phát hiện và báo cáo bởi Harm van den Brink từ DIVD.

Tuyên bố

Mọi bản cập nhật phần mềm, bản vá và tài liệu do Sungrow Power Supply Co., Ltd. cung cấp đều là tài sản sở hữu của Sungrow. Những tài liệu này chỉ được sử dụng cho việc bảo trì sản phẩm và cải thiện bảo mật. Mọi sửa đổi, phân phối, giải mã hoặc phân tích ngược không được ủy quyền đều bị nghiêm cấm.

Sungrow không đưa ra bất kỳ bảo đảm rõ ràng hay ngụ ý nào đối với thông tin được cung cấp, bao gồm nhưng không giới hạn ở các bảo đảm về tính thương mại, phù hợp cho một mục đích cụ thể, hoặc không vi phạm. Sungrow sẽ không chịu trách nhiệm đối với bất kỳ thiệt hại trực tiếp, gián tiếp, ngẫu nhiên hoặc hậu quả nào phát sinh từ việc sử dụng tài liệu này hoặc phần mềm liên quan.

Sungrow bảo lưu quyền cập nhật hoặc sửa đổi tài liệu này bất cứ lúc nào mà không cần thông báo trước. Khách hàng chịu trách nhiệm triển khai các bản cập nhật bảo mật kịp thời để bảo vệ hệ thống của họ.