CVE-2017-9852

SMA Solar Technology — zakodowane hasła domyślne w ukrytych kontach użytkowników

CVSS 9.8v3.0pub. 2017-08-05upd. 2026-05-13

W urządzeniach SMA Solar Technology wykryto problem z nieprawidłowym zarządzaniem hasłami (CWE-798): ukryte konta użytkowników posiadają stałe, zakodowane hasła, których użytkownik nie może zmienić. Podatność jest krytyczna, ponieważ atakujący sieciowy bez uwierzytelnienia może uzyskać pełen dostęp do urządzenia.

▸ Pokaż oryginał (EN)

An Incorrect Password Management issue was discovered in SMA Solar Technology products. Default passwords exist that are rarely changed. User passwords will almost always be default. Installer passwords are expected to be default or similar across installations installed by the same company (but are sometimes changed). Hidden user accounts have (at least in some cases, though more research is required to test this for all hidden user accounts) a fixed password for all devices; it can never be changed by a user. Other vulnerabilities exist that allow an attacker to get the passwords of these hidden user accounts. NOTE: the vendor reports that it has no influence on the allocation of passwords, and that global hardcoded master passwords do not exist. Also, only Sunny Boy TLST-21 and TL-21 and Sunny Tripower TL-10 and TL-30 could potentially be affected

🤖 Analiza AI

Jak działa

Urządzenia posiadają kilka kategorii kont: konta użytkowników i instalatorów z hasłami domyślnymi (rzadko zmienianymi), a także ukryte konta systemowe z hasłami zakodowanymi na stałe w firmware — identycznymi dla wszystkich egzemplarzy urządzeń. Hasła ukrytych kont nie mogą być zmienione przez żadnego użytkownika. Dodatkowo, według opisu, istnieją inne podatności umożliwiające odczytanie haseł tych ukrytych kont, co czyni scenariusz ataku w pełni osiągalnym zdalnie przez sieć.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do urządzenia z pełnymi uprawnieniami, co zagraża poufności, integralności oraz dostępności systemu, a w kontekście infrastruktury energetycznej może prowadzić do zakłócenia pracy instalacji fotowoltaicznych.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Producent (SMA Solar Technology) opublikował whitepaper dotyczący cyberbezpieczeństwa; zaleca się zapoznanie z oficjalnym oświadczeniem producenta pod adresem sma.de. Do czasu aktualizacji firmware należy izolować urządzenia od sieci publicznych, stosować segmentację sieci oraz ograniczyć dostęp do interfejsów zarządzania wyłącznie do zaufanych hostów.

Kogo dotyczy

SMA Sunny Boy 3600, SMA Sunny Boy 5000, SMA Sunny Tripower Core1 oraz — według zastrzeżenia producenta — potencjalnie modele Sunny Boy TLST-21, TL-21 oraz Sunny Tripower TL-10 i TL-30

Uwagi

Producent SMA Solar Technology w swoim oświadczeniu kwestionuje część ustaleń: informuje, że nie ma wpływu na alokację haseł oraz że globalne zakodowane hasła główne nie istnieją. Producent wskazuje, że podatność może dotyczyć jedynie modeli Sunny Boy TLST-21 i TL-21 oraz Sunny Tripower TL-10 i TL-30.