Aktuelle Sicherheitshinweise

Ein nicht authentifizierter Angreifer konnte Zugriff auf Systeme im Demo-Systembereich erhalten. Innerhalb der dort bereitgestellten Demo-Systeme konnte der Angreifer Parameter und Konfigurationsdaten verändern. Es wurden keine Hinweise auf eine Kompromittierung festgestellt.

Betroffen ist das classic Portal www.sunnyportal.com vor dem 20.02.2025.

SMA hat die Schwachstelle im Webdienst behoben. Es sind keine Maßnahmen seitens der Kunden erforderlich.

Weitere Details, einschließlich des Advisory, finden Sie unter  https://certvde.com/en/advisories/VDE-2025-010 

Ein nicht authentifizierter entfernter Angreifer kann eine '.aspx'-Datei anstelle eines PV-Systembildes über das Demokonto hochladen. Der Code kann im Sicherheitskontext des Front-End-Webservers ausgeführt werden, begrenzt durch die spezifischen Benutzerrechte.

Betroffen ist das Portal www.sunnyportal.com vor dem 19.12.2024.

SMA hat die Sicherheitslücke im Webdienst behoben. Es sind keine Maßnahmen seitens der Kunden erforderlich.

Weitere Details, einschließlich der Beratung, finden Sie unter https://certvde.com/en/advisories/VDE-2025-012 

Ein Sicherheitsforscher hat entdeckt, dass in den betroffenen Produkten Sunny Webbox / Sunny Webbox with Bluetooth eine Clickjacking-Schwachstelle im Web-Frontend existiert. Ein Angreifer könnte den Benutzer dazu bringen, Klicks auf eine bösartige Website auszuführen, bei der es sich scheinbar um die WebUI des betroffenen Produkts handelt. Die betroffenen Produkte werden nicht mehr unterstützt (End-of-Life 2015-12-31).

Ein Benutzer kann dazu gebracht werden, unerwünschte Aktionen auf anderen Systemen auszuführen, während er einen Klick auf die Webbox WebUI erwartet.

Ersetzen Sie die nicht mehr unterstützte Sunny Webbox / Sunny Webbox with Bluetooth durch den SMA Data Manager M oder SMA Data Manager L. Bitte beachten Sie die technischen Informationen zur Umstellung, die Sie unter https://www.sma-sunny.com/en/how-to-replace-old-data-logger/ finden.

Wenn Sie Ihre Webbox nicht durch einen SMA Data Manager M oder L ersetzen können, isolieren Sie das betroffene Netzwerksegment, indem Sie den gesamten eingehenden Netzwerkverkehr blockieren. Konfigurieren Sie Ihr Netzwerk insbesondere niemals so, dass eine Portweiterleitung an die SMA Webbox zulässig ist.

Weitere Details, einschließlich der Beratung, finden Sie unter https://certvde.com/en/advisories/VDE-2024-075

Ein Sicherheitsforscher hat eine Cross Site Request Forgery (CSRF, XSRF) Schwachstelle im SMA Cluster Controller entdeckt. Die betroffenen Produkte werden nicht mehr unterstützt (End-of-Life 2018-06-30).
Die Schwachstelle kann es einem Angreifer ermöglichen, einen schädlichen Link an einen authentifizierten Benutzer zu senden, um Aktionen mit den Berechtigungen des Benutzers auf dem betroffenen Gerät auszuführen.
Ersetzen Sie den nicht mehr unterstützten Cluster-Controller durch SMA Data Manager M oder SMA Data Manager L. Bitte beachten Sie die technischen Informationen zur Umstellung, die Sie unter https://www.sma-sunny.com/en/how-to-replace-old-data-logger/
Wenn Sie Ihren Cluster Controller nicht durch einen SMA Data Manager M oder L ersetzen können, isolieren Sie das betroffene Netzwerksegment, indem Sie den gesamten eingehenden Netzwerkverkehr blockieren. Konfigurieren Sie Ihr Netzwerk insbesondere nicht so, dass eine Portweiterleitung an den SMA Cluster Controller möglich ist. Vermeiden Sie den Zugriff auf Internetressourcen, während Sie beim Clustercontroller angemeldet sind.

Weitere Details einschließlich Advisory finden sich unter https://certvde.com/en/advisories/VDE-2024-020