CVE-2017-9858
WysokieStreszczenie
W produktach SMA Solar Technology odkryto problem, który pozwala na określenie aktywnych i nieaktywnych kont użytkowników poprzez wysyłanie spreparowanych pakietów do inwertera i obserwowanie odpowiedzi. To ułatwia dalsze ataki, takie jak atak siłowy, ponieważ atakujący zyskuje wiedzę o istniejących użytkownikach.
Ocena ryzyka
Organizacja może być narażona na ataki, które wykorzystują ujawnione informacje o kontach użytkowników, co może prowadzić do nieautoryzowanego dostępu do systemów.
Rekomendacja
Zaleca się monitorowanie i zabezpieczenie systemów przed potencjalnymi atakami, a także rozważenie aktualizacji lub wymiany podatnych inwerterów.
Inne podatności w Sunny Boy TLST-21, TL-21, Sunny Tripower TL-10, TL-30
Zobacz wszystkie- CVE-2017-9864Wysokie
W produktach SMA Solar Technology odkryto problem, który pozwala atakującemu na zmianę czasu w systemie, nawet bez autoryzacji. Może to wpłynąć na polityki blokady oraz generatory liczb losowych, które opierają się na znacznikach czasowych.
- CVE-2017-9862Wysokie
W produktach SMA Solar Technology odkryto problem, który pozwala na stworzenie raportu debugowania po zalogowaniu się do Sunny Explorer z błędnym hasłem. To umożliwia atakującemu ujawnienie informacji o aplikacji oraz zapisanie pliku .txt z dowolną treścią.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in SMA Solar Technology products. By sending crafted packets to an inverter and observing the response, active and inactive user accounts can be determined. This aids in further attacks (such as a brute force attack) as one now knows exactly which users exist and which do not. NOTE: the vendor's position is that this "is not a security gap per se." Also, only Sunny Boy TLST-21 and TL-21 and Sunny Tripower TL-10 and TL-30 could potentially be affected