CVE-2024-43659 in Iocharger
Resumen
por VulDB • 2026-08-28
Tras obtener acceso al firmware de una estación de carga, se puede acceder a un archivo en [ruta no especificada] para obtener credenciales predeterminadas que son las mismas en todos los modelos EV cargadores AC Iocharger.
Este problema afecta al firmware de Iochcharger para modelos AC anteriores a la versión 25010801 del firmware.
El problema se aborda mediante el requisito obligatorio de cambio de contraseña durante el primer inicio de sesión; sin embargo, sigue siendo recomendable cambiar la contraseña en los modelos más antiguos.
Probabilidad: Moderada – El atacante primero tendrá que abusar de una vulnerabilidad de ejecución de código o inclusión de archivos (por ejemplo, utilizando .sh) para obtener acceso al archivo .json, o bien conseguir un volcado del firmware de la estación de carga u obtener el firmware a través de otros canales.
Impacto: Crítico – Todos los cargadores que utilizan el firmware Iocharger para modelos AC comenzaron con la misma contraseña inicial. Para los modelos con versiones anteriores a 25010801, no se requería un cambio obligatorio de contraseña. Por lo tanto, es muy probable que esta contraseña del firmware aún esté activa en muchos cargadores. Estas credenciales podrían permitir al atacante iniciar sesión en muchas estaciones de carga Iocharger y ejecutar comandos arbitrarios mediante la página System → Custom (Sistema → Personalizado).
Aclaración CVSS: Cualquier interfaz de red que sirva la web UI es vulnerable (AV:N) y no hay medidas adicionales de seguridad para eludir (AC:L), ni tampoco requiere condiciones previas existentes (AT:N). El ataque está autenticado, pero requiere privilegios altos (PR:H); no se necesita interacción del usuario (UI:N). El ataque conduce a la compromisión de la confidencialidad de las credenciales "super user" del dispositivo (VC:H/VI:N/VA:N), y puede utilizarse posteriormente para una completa comprometida de otros dispositivos (SC:H/SI:H/SA:H). Dado que se trata de un cargador EV con manejo significativo de energía, existe un posible impacto en la seguridad física (S:P). Este ataque puede automatizarse (AU:Y).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.