CVE-2024-43651 in Iocharger
Riassunto
di VulDB • 21/06/2026
Vulnerabilità di "Mancata neutralizzazione degli elementi speciali utilizzati in un comando" ('Command Injection') che consente l'iniezione di comandi OS come utente root. Questo problema interessa il firmware Iocharger per i modelli AC precedenti alla versione 241207101.
Probabilità: Moderata – Il binario non sembra essere utilizzato dall'interfaccia web, quindi potrebbe risultare più difficile da individuare. Tuttavia, sembra essere sostanzialmente lo stesso binario utilizzato dalla stazione di ricarica Iocharger Pedestal. L'attaccante avrà inoltre bisogno di un account (a privilegi ridotti) per accedere al binario o convincere un utente con tale accesso a eseguire una richiesta HTTP appositamente creata.
Impatto: Critico – L'attaccante ha il controllo completo della stazione di ricarica come utente root e può aggiungere, modificare ed eliminare arbitrariamente file e servizi.
Chiarimento CVSS: Qualsiasi connessione di rete che serve l'interfaccia web è vulnerabile (AV:N) e non ci sono misure aggiuntive per eluderla (AC:L), né l'attacco richiede condizioni speciali presenti (AT:N). L'attacco richiede autenticazione, ma il livello non importa (PR:L), ed è necessaria anche l'interazione dell'utente (UI:N). L'attacco porta a una compromissione completa (VC:H/VI:H/VA:H) e un dispositivo compromesso può essere utilizzato per potenzialmente "pivotare" in una rete che non dovrebbe essere raggiungibile (SC:L/SI:L/SA:H). Poiché si tratta di un caricabatterie EV che gestisce potenza significativa, esiste un potenziale impatto sulla sicurezza fisica (S:P). L'attacco può essere automatizzato (AU:Y).
If you want to get best quality of vulnerability data, you may have to visit VulDB.