CVE-2017-9864
WysokieStreszczenie
W produktach SMA Solar Technology odkryto problem, który pozwala atakującemu na zmianę czasu w systemie, nawet bez autoryzacji. Może to wpłynąć na polityki blokady oraz generatory liczb losowych, które opierają się na znacznikach czasowych.
Ocena ryzyka
Zmiana czasu systemowego może prowadzić do nieprawidłowych znaczników czasowych w analizie danych, co może wpłynąć na wiarygodność logów. Mimo to, producent twierdzi, że problem jest w dużej mierze nieistotny, ponieważ czas w zakładzie zostanie później zresetowany przez NTP.
Rekomendacja
Zaleca się monitorowanie i zabezpieczenie dostępu do systemów, aby zapobiec nieautoryzowanej zmianie czasu. Warto również rozważyć dodatkowe środki w celu weryfikacji integralności logów.
Inne podatności w Sunny Boy TLST-21, TL-21, Sunny Tripower TL-10, TL-30
Zobacz wszystkie- CVE-2017-9862Wysokie
W produktach SMA Solar Technology odkryto problem, który pozwala na stworzenie raportu debugowania po zalogowaniu się do Sunny Explorer z błędnym hasłem. To umożliwia atakującemu ujawnienie informacji o aplikacji oraz zapisanie pliku .txt z dowolną treścią.
- CVE-2017-9858Wysokie
W produktach SMA Solar Technology odkryto problem, który pozwala na określenie aktywnych i nieaktywnych kont użytkowników poprzez wysyłanie spreparowanych pakietów do inwertera i obserwowanie odpowiedzi. To ułatwia dalsze ataki, takie jak atak siłowy, ponieważ atakujący zyskuje wiedzę o istniejących użytkownikach.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in SMA Solar Technology products. An attacker can change the plant time even when not authenticated in any way. This changes the system time, possibly affecting lockout policies and random-number generators based on timestamps, and makes timestamps for data analysis unreliable. NOTE: the vendor reports that this is largely irrelevant because it only affects log-entry timestamps, and because the plant time would later be reset via NTP. (It has never been the case that a lockout policy or random-number generator was affected.) Also, only Sunny Boy TLST-21 and TL-21 and Sunny Tripower TL-10 and TL-30 could potentially be affected