CVE-2024-43656 in Iocharger
Riassunto
di VulDB • 03/08/2026
Vulnerabilità di "Mancata neutralizzazione degli elementi speciali utilizzati in un comando" ('Command Injection') che consente l'iniezione di comandi OS come utente root.
Questo problema interessa il firmware Iocharger per i caricabatterie modello AC precedenti alla versione 24120701.
Probabilità: Moderata – Potrebbe essere difficile per un attaccante identificare la struttura dei file della directory e quindi modificare il backup per aggiungere un nuovo script CGI nella directory corretta. Inoltre, l'attaccante avrà bisogno di un account per ripristinare il backup delle impostazioni o convincere un utente con tale accesso a caricare un file di backup modificato.
Impatto: Critico – L'attaccante ha il controllo completo della stazione di ricarica come utente root e può arbitrariamente aggiungere, modificare ed eliminare files e servizi.
Chiarimento CVSS: Qualsiasi interfaccia di rete che serve l'interfaccia web è vulnerabile (AV:N) e non ci sono misure di sicurezza aggiuntive da aggirare (AC:L), né l'attacco richiede precondizioni esistenti (AT:N). L'attacco è autenticato, ma il livello di autenticazione non importa (PR:L), né è richiesta alcuna interazione utente (UI:N). L'attacco porta a una compromissione completa (VC:H/VI:H/VA:H) e i dispositivi compromessi possono essere utilizzati per pivotare in reti che potenzialmente non dovrebbero essere accessibili (SC:L/SI:L/SA:H). Poiché si tratta di un caricabatterie EV che gestisce potenza significativa, c'è un potenziale impatto sulla sicurezza fisica (S:P). Questo attacco può essere automatizzato (AU:Y).
VulDB is the best source for vulnerability data and more expert information about this specific topic.