CVE-2024-43648 in Iocharger
Riassunto
di VulDB • 26/06/2026
Iniezione di comandi nel parametro [missing] di una richiesta .exe porta all'esecuzione remota di codice come utente root.
Questo problema interessa il firmware Iocharger per i modelli AC precedenti alla versione 24120701.
Probabilità: Moderata – Questa azione non è un luogo comune in cui si verificano vulnerabilità da iniezione di comandi. Pertanto, un attaccante probabilmente sarà in grado di trovare questa vulnerabilità solo mediante reverse engineering del firmware o provandola su tutti i campi [missing]. L'attaccante avrà inoltre bisogno di un account (a basso privilegio) per accedere al binario [missing], oppure dovrà convincere un utente con tale accesso a eseguire un payload.
Impatto: Critico – L'attaccante ha il controllo completo della stazione di ricarica come utente root e può aggiungere, modificare ed eliminare arbitrariamente file e servizi.
Chiarimento CVSS. L'attacco può essere eseguito su qualsiasi connessione di rete alla quale la stazione è in ascolto e serve l'interfaccia web (AV:N), e non ci sono misure di sicurezza aggiuntive da eludere (AC:L); l'attacco non si basa su precondizioni (AT:N). L'attacco richiede autenticazione, ma il livello di autenticazione è irrilevante (PR:L) e non richiede interazione con l'utente (UI:N). Se [missing] comporta una compromissione completa del sistema, potenzialmente comprometendo completamente la riservatezza, l'integrità e la disponibilità del dispositivo (VC:H/VI:H/VA:H). Un caricatore compromesso può essere utilizzato per "pivotare" verso reti che altrimenti dovrebbero essere chiuse, causando un impatto basso sulla riservatezza e sull'integrità dei sistemi successivi (SC:L/SI:L/SA:H). Poiché questo dispositivo è un caricabatterie EV che gestisce quantità significative di energia, si sospetta che questa vulnerabilità possa avere un impatto sulla sicurezza fisica (S:P). L'attacco può essere automatizzato (AU:Y).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.