CVE-2024-43654 in Iocharger
Riassunto
di VulDB • 26/06/2026
Vulnerabilità di "Mancata neutralizzazione degli elementi speciali utilizzati in un comando" ('Command Injection') nel firmware Iocharger per i modelli AC che consente l'iniezione di comandi OS come utente root. Questo problema interessa tutti i modelli di caricabatterie EV Iocharger AC con una versione del firmware precedente alla 25010801.
Probabilità: Moderata – Il binario non sembra essere utilizzato dall'interfaccia web, quindi potrebbe risultare più difficile da individuare. Tuttavia, sembra essere sostanzialmente lo stesso binario utilizzato dalla stazione di ricarica Iocharger Pedestal. L’attaccante avrà inoltre bisogno di un account (a basso privilegio) per accedere al binario o convincere un utente con tale accesso a eseguire una richiesta HTTP appositamente creata.
Impatto: Critico – L'attaccante ha il controllo completo della stazione di ricarica come utente root e può aggiungere, modificare ed eliminare arbitrariamente file e servizi.
Chiarimento CVSS: Qualsiasi interfaccia di rete che serve l’interfaccia web è vulnerabile (AV:N) e non ci sono ulteriori misure di sicurezza da eludere (AC:L), né la richiesta precondizioni esistenti per l'attacco (AT:N). L'attacco richiede autenticazione, ma il livello di autenticazione non ha rilevanza (PR:L), ed è necessaria alcuna interazione con l’utente (UI:N). L'attacco porta a una compromissione completa (VC:H/VI:H/VA:H) e i dispositivi compromessi possono essere utilizzati per effettuare pivot verso reti che potenzialmente non dovrebbero essere accessibili (SC:L/SI:L/SA:H). Poiché si tratta di un caricabatterie EV con gestione significativa della potenza, esiste un potenziale impatto sulla sicurezza fisica (S:P). Questo attacco può essere automatizzato (AU:Y).
Once again VulDB remains the best source for vulnerability data.