CVE-2025-36751
KrytyczneStreszczenie
Brak szyfrowania w interfejsie konfiguracyjnym dla Growatt ShineLan-X i MIC 3300TL-X. Pozwala to atakującemu z dostępem do sieci na przechwytywanie i potencjalną manipulację żądaniami komunikacji między falownikiem a jego chmurowym punktem końcowym.
Ocena ryzyka
Przechwycenie i manipulacja komunikacją może prowadzić do nieautoryzowanych zmian w konfiguracji lub kradzieży danych, co zagraża integralności systemu energetycznego.
Rekomendacja
Zaleca się wdrożenie szyfrowania (np. TLS) dla interfejsu konfiguracyjnego oraz monitorowanie ruchu sieciowego w celu wykrycia nieautoryzowanych działań.
Inne podatności w Growatt ShineLan-X
Zobacz wszystkie- CVE-2025-36754Krytyczne
Mechanizm uwierzytelniania w interfejsie webowym nie jest poprawnie zaimplementowany. Możliwe jest ominięcie kontroli uwierzytelniania poprzez wysłanie żądania POST z nowymi ustawieniami, ponieważ nie ma tokena sesji ani uwierzytelniania. Pozwala to atakującemu na przykład na skierowanie urządzenia na dowolny adres do rozwiązywania nazw domen, co może ułatwić atak typu man-in-the-middle (MitM).
- CVE-2025-36753Krytyczne
Interfejs debugowania SWD w komunikatorze Growatt ShineLan-X jest domyślnie dostępny, co pozwala atakującemu uzyskać dostęp debugowania do urządzenia i wydobyć z niego sekrety lub domeny.
- CVE-2025-36752Krytyczne
Komunikator Growatt ShineLan-X posiada nieudokumentowane konto zapasowe z nieudokumentowanymi poświadczeniami, które umożliwia znaczący poziom dostępu do urządzenia, w tym dostęp do Centrum Ustawień. Jest to praktycznie backdoor dla wszystkich urządzeń korzystających z tego komunikatora.
- CVE-2025-36747Krytyczne
ShineLan-X zawiera zestaw poświadczeń do serwera FTP znaleziony w oprogramowaniu układowym, co pozwala testerom na nawiązanie niezabezpieczonego połączenia FTP z serwerem. Może to umożliwić atakującemu zastąpienie legalnych plików wdrażanych na urządzeniach własnymi złośliwymi wersjami, ponieważ weryfikacja podpisu oprogramowania nie jest egzekwowana.
Oryginalny opis (angielski, źródło NVD)
Encryption is missing on the configuration interface for Growatt ShineLan-X and MIC 3300TL-X. This allows an attacker with access to the network to intercept and potentially manipulate communication requests between the inverter and its cloud endpoint.