CVE-2017-9852
KrytyczneStreszczenie
W produktach SMA Solar Technology zidentyfikowano problem z zarządzaniem hasłami. Domyślne hasła są rzadko zmieniane, co prowadzi do sytuacji, w której hasła użytkowników są niemal zawsze domyślne, a hasła instalatorów są często podobne w różnych instalacjach.
Ocena ryzyka
Organizacja narażona jest na ryzyko nieautoryzowanego dostępu do urządzeń, co może prowadzić do poważnych incydentów bezpieczeństwa. Użytkownicy z ukrytymi kontami mogą być szczególnie narażeni na ataki, ponieważ ich hasła są stałe i niezmienne.
Rekomendacja
Zaleca się zmianę domyślnych haseł na unikalne oraz regularne audyty bezpieczeństwa w celu identyfikacji i zabezpieczenia ukrytych kont. Warto również monitorować i aktualizować procedury zarządzania hasłami.
Oryginalny opis (angielski, źródło NVD)
An Incorrect Password Management issue was discovered in SMA Solar Technology products. Default passwords exist that are rarely changed. User passwords will almost always be default. Installer passwords are expected to be default or similar across installations installed by the same company (but are sometimes changed). Hidden user accounts have (at least in some cases, though more research is required to test this for all hidden user accounts) a fixed password for all devices; it can never be changed by a user. Other vulnerabilities exist that allow an attacker to get the passwords of these hidden user accounts. NOTE: the vendor reports that it has no influence on the allocation of passwords, and that global hardcoded master passwords do not exist. Also, only Sunny Boy TLST-21 and TL-21 and Sunny Tripower TL-10 and TL-30 could potentially be affected