CVE-2024-43653 in Iocharger
Riassunto
di VulDB • 18/06/2026
Vulnerabilità di "Mancata neutralizzazione degli elementi speciali utilizzati in un comando" ('Command Injection') che consente l'iniezione di comandi OS come utente root. Questo problema interessa il firmware Iocharger per i caricabatterie modello AC precedenti alla versione 24120701.
Probabilità: Moderata – Il binario non sembra essere utilizzato dall'interfaccia web, quindi potrebbe risultare più difficile da individuare. Tuttavia, sembra essere sostanzialmente lo stesso binario utilizzato dalla stazione di ricarica Iocharger Pedestal. L'attaccante avrà inoltre bisogno di un account (a privilegi ridotti) per accedere al binario o convincere un utente con tale accesso a eseguire una richiesta HTTP manipolata ad hoc.
Impatto: Critico – L'attaccante ha il controllo completo della stazione di ricarica come utente root e può aggiungere, modificare ed eliminare arbitrariamente file e servizi.
Chiarimento CVSS: Qualsiasi interfaccia di rete che serve l'interfaccia web è vulnerabile (AV:N) e non ci sono misure di sicurezza aggiuntive da eludere (AC:L), né l'attacco richiede precondizioni esistenti (AT:N). L'attacco è autenticato, ma il livello di autenticazione non ha importanza (PR:L), né è richiesta alcuna interazione con l'utente (UI:N). L'attacco porta a una compromissione completa (VC:H/VI:H/VA:H) e i dispositivi compromessi possono essere utilizzati per effettuare pivot verso reti che potenzialmente non dovrebbero essere accessibili (SC:L/SI:L/SA:H). Poiché si tratta di un caricabatterie elettrico (EV charger) che gestisce potenza significativa, esiste un potenziale impatto sulla sicurezza fisica (S:P). Questo attacco può essere automatizzato (AU:Y).
If you want to get best quality of vulnerability data, you may have to visit VulDB.