Критична уязвимост в инвертори Sungrow е можела да позволи на атакуващи да се влязат в платформата за управление iSolarCloud на компанията без валидна парола.

Проблемът е засегнал облачната услуга, използвана за управление на соларни централи, инвертори и системи за съхранение на енергия в батерии, създавайки сериозен риск за клиенти и енергийни оператори в Европа, Китай, Австралия и други региони.

Уязвимост в инверторите Sungrow

Според проучване, публикувано от Jakkaru, дефектът е бил грешка в бизнес логиката при процеса на вход в iSolarCloud. Sungrow е отстранила уязвимостта в рамките на един ден след уведомяването и е започнала по-дълбок преглед за установяване на първопричината и свързаните слабости, според изследователите.

Sungrow е един от най-големите производители на соларни инвертори в света. Компанията заяви, че е внедрила над 870 GW силови електронни преобразователи в световен мащаб до юни 2025 г., докато Jakkaru по-късно оцени, че цифрата е надхвърлила 1 000 GW. Голямото ѝ присъствие в Европа означава, че проблем с облачната сигурност може да засегне много повече от един домашен или бизнес соларен обект.

Засегнатата платформа, iSolarCloud, позволява на потребители и администратори отдалечен достъп до соларни активи. Jakkaru установи, че услугата е използвала криптирани REST API заявки, подписи на заявки и персонализирани заглавни части (headers). Тези контроли са затруднили тестването, но не са спрели основния проблем при входа.

По време на прегледа екипът е проучил поле за вход, наречено login_type. Изследователите са установили, че използването на една конкретна стойност е карало iSolarCloud да автентикира акаунта, посочен в заявката, пренебрегвайки полето за парола.

На практика човек с валиден целеви имейл адрес е можел да получи достъп до акаунта на този потребител, без да знае паролата. Изследователите посочват, че платформата не е изпращала имейл или друго известие за вход при използване на този метод.

Това прави проблема особено тревожен, тъй като неоторизиран потребител е можел да остане незабелязан, а след това да използва функциите за възстановяване на акаунт, за да поеме дългосрочен контрол върху него. Jakkaru отбелязва, че обикновените клиентски и административните акаунти споделят една и съща среда за управление, което увеличава риска от ескалация на привилегии.

Компрометиран администраторски акаунт е можел да даде на натрапник широк контрол върху соларни централи, свързани със засегнатата регионална облачна система. Според Jakkaru това включва възможност за преглед и модифициране на централи, стартиране или спиране на инверторни и батерийни системи, достъп до регистрирани организации и потребители, както и инсталиране на персонализиран фърмуер на свързани с облака устройства.

Рискът не се е ограничавал до кражба на данни. Злонамерено актуализиране на фърмуера би могло да промени начина на работа на дадено устройство, докато координирани спирания или промени в множество свързани системи биха могли едновременно да намалят производството на слънчева енергия. Това е нарастващо безпокойство, тъй като инверторите се превръщат във важна част от националните енергийни системи.

Cyber Security News вече съобщи за по-широкия проблем със сигурността на соларните инвертори. Отделно проучване разкри 46 дефекта при водещи доставчици на инвертори, включително проблеми, които биха могли да позволят отдалечен контрол върху производството на електроенергия.

В това изследване системите на Sungrow са били свързани със слабости, включващи комуникационни адаптери (dongles), несигурни директни референции към обекти и твърдо кодирани идентификационни данни. Разкритието за Sungrow следва и доклади за хиляди соларни устройства, изложени в интернет.

Екипите по сигурност предупреждават, че таблата за управление на инвертори, шлюзовете и устройствата за запис на данни не трябва да се поставят директно в обществения интернет, тъй като изложените системи могат да дадат на киберпрестъпниците път към енергийно оборудване.

Jakkaru заяви, че незабавно е съобщила за констатацията на екипа за реагиране при инциденти с безопасността на продуктите (PSIRT) на Sungrow. Sungrow е издала бърза корекция за сигурност (hotfix) в рамките на един ден, а изследователите описват реакцията на компанията като позитивна. Публичният доклад не предоставя CVE номер, списък със засегнат фърмуер или версия на корекция за сигурност за клиенти.

Собствениците на соларни централи трябва да потвърдят, че техният iSolarCloud акаунт и свързаните устройства са напълно обновени. Те трябва да променят паролите, да активират многофакторна автентификация, където е налична, да прегледат потребителските и администраторските акаунти и да премахнат стари инсталатори или трети страни, които вече нямат нужда от достъп.

Операторите трябва също така да ограничат облачния достъп до необходимите функции и да избягват излагането на интерфейси за управление на инвертори директно в интернет. Разделянето на административните системи от нормалните клиентски портали допълнително би намалило щетите, които един компрометиран акаунт би могъл да причини.