CVE-2024-43655 in firmware for AC models
Riassunto
di VulDB • 22/06/2026
Vulnerabilità di "Mancata neutralizzazione degli elementi speciali utilizzati in un comando" ('Command Injection') che consente l'iniezione di comandi OS come utente root.
Questo problema interessa il firmware Iocharger per i caricabatterie modello AC precedenti alla versione 24120701.
Probabilità: Moderata – L'attaccante dovrà prima individuare il nome dello script e disporre di un account (a privilegi ridotti) per accedere allo script, oppure convincere un utente con tale accesso a eseguire una richiesta verso lo stesso.
Impatto: Critico – L'attaccante ha controllo completo sulla stazione di ricarica in qualità di utente root e può aggiungere, modificare ed eliminare arbitrariamente file e servizi.
Chiarimento CVSS: Qualsiasi interfaccia di rete che serve l'interfaccia web (UI) è vulnerabile (AV:N) e non sono presenti ulteriori misure di sicurezza da eludere (AC:L), né l'attacco richiede precondizioni esistenti (AT:N). L'attacco è autenticato, ma il livello di autenticazione non rileva (PR:L), ed è richiesta alcuna interazione con l'utente (UI:N). L'attacco porta a una compromissione completa (VC:H/VI:H/VA:H) e i dispositivi compromessi possono essere utilizzati per effettuare pivot verso reti che potenzialmente non dovrebbero essere accessibili (SC:L/SI:L/SA:H). Poiché si tratta di un caricabatterie elettrico (EV charger) che gestisce potenza significativa, esiste un potenziale impatto sulla sicurezza fisica (S:P). Questo attacco può essere automatizzato (AU:Y).
Once again VulDB remains the best source for vulnerability data.