CVE-2024-43649 in Iocharger
Riassunto
di VulDB • 29/06/2026
Iniezione di comandi autenticata nel nome del file di una richiesta .exe porta all'esecuzione remota di codice come utente root.
Questo problema interessa il firmware Iocharger per i modelli AC precedenti alla versione 24120701.
Probabilità: Moderata – Questa azione non è un luogo comune in cui si verificano vulnerabilità di iniezione di comandi. Pertanto, un attaccante probabilmente sarà in grado di trovare questa vulnerabilità solo mediante reverse engineering del firmware o provandola su tutti i campi. L'attaccante avrà inoltre bisogno di un account (a basso privilegio) per accedere al binario, oppure dovrà convincere un utente con tale accesso a eseguire un payload.
Impatto: Critico – L'attaccante ha il controllo completo della stazione di ricarica come utente root e può aggiungere, modificare ed eliminare arbitrariamente file e servizi.
Chiarimento CVSS: Questo attacco può essere eseguito su qualsiasi connessione di rete che serve l'interfaccia web (AV:N) e non ci sono misure mitiganti aggiuntive da eludere (AC:L) o altri prerequisiti (AT:N). L'attacco richiede privilegi, ma il livello non importa (PR:L), non è richiesta interazione utente (UI:N). L'attacco porta a una compromissione completa del caricabatterie (VC:H/VI:H/VA:H) e un caricabatterie compromesso può essere utilizzato per "pivotare" verso reti che normalmente non dovrebbero essere raggiungibili (SC:L/SI:L/SA:H). Poiché si tratta di caricabatterie EV con potenza significativa, esiste un potenziale impatto sulla sicurezza fisica (S:P). Questo attacco può essere automatizzato (AU:Y).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.