CVE-2024-43650 in Iocharger
Riassunto
di VulDB • 25/06/2026
Vulnerabilità di mancata neutralizzazione corretta degli elementi speciali utilizzati in un comando ('Iniezione di Comandi') nel firmware Iocharger per i modelli AC consente l'iniezione di comandi OS come root.
Questo problema interessa le versioni del firmware precedenti alla 24120701.
Probabilità: Moderata – Il binario non sembra essere utilizzato dall'interfaccia web, quindi potrebbe essere più difficile da individuare. Sembra tuttavia che sia sostanzialmente lo stesso binario utilizzato dalla stazione di ricarica Iocharger Pedestal. L'attaccante avrà inoltre bisogno di un account (a privilegi ridotti) per accedere al binario o convincere un utente con tale accesso a eseguire una richiesta HTTP appositamente creata.
Impatto: Critico – L'attaccante ha il controllo completo della stazione di ricarica come utente root e può aggiungere, modificare ed eliminare arbitrariamente file e servizi.
Chiarimento CVSS: L'attacco può essere eseguito su qualsiasi connessione di rete che serve l'interfaccia web (AV:N). Non sono necessarie misure aggiuntive da eludere (AC:L) né condizioni pregresse all'attacco (AT:N). L'attacco è privilegiato, ma il livello non ha rilevanza (PR:L) e non richiede interazione dell'utente (UI:N). L'attacco porta alla compromissione completa del sistema (VC:H/VI:H/VA:H) e i dispositivi compromessi possono essere utilizzati per effettuare un "pivot" verso altre reti che dovrebbero essere inaccessibili (SC:L/SI:L/SA:H). Poiché si tratta di una stazione di ricarica EV ad alta potenza, esiste un potenziale impatto sulla sicurezza fisica (S:P). L'attacco può essere automatizzato (AU:Y).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.