CVE-2024-43648 in Iocharger
要約
〜によって VulDB • 2026年06月28日
.exeリクエストの パラメータにおけるコマンドインジェクションにより、rootユーザーとしてリモートコード実行が可能になる。
この問題は、バージョン24120701以前のACモデル用Iochargerファームウェアに影響を与える。
発生確率：中程度 – この箇所はコマンドインジェクション脆弱性が一般的に存在する場所ではないため、攻撃者がこの脆弱性を発見するには、ファームウェアのリバースエンジニアリングを行うか、すべての フィールドを試す必要があるだろう。また、攻撃者は にアクセスするための（低権限の）アカウントを所持しているか、そのようなアクセス権を持つユーザーをだましてペイロードを実行させる必要がある。
影響：重大 – 攻撃者はrootユーザーとして充電ステーションを完全に制御でき、ファイルやサービスを任意に追加、変更、削除できる。
CVSSに関する補足説明: この攻撃は、ステーションがウェブインターフェースを提供しリッスンしているあらゆるネットワーク接続を通じて実行可能である（AV:N）。回避する必要がある追加のセキュリティ対策はない（AC:L）。攻撃には事前条件が必要ない（AT:N）。認証が必要ではあるが、そのレベルは重要ではない（PR:L）。ユーザーインタラクションも必要ない（UI:N）。これは完全なシステム侵害であり、デバイスの機密性、整合性、可用性を完全に損なう可能性がある（VC:H/VI:H/VA:H）。侵害された充電器を使用して、本来閉鎖されているべきネットワークに対して「ピボット」攻撃を行うことができ、後続のシステムには低レベルの機密性及び整合性の影響を与える（SC:L/SI:L/SA:H）。このデバイスは大量の電力を扱うEV充電器であるため、この脆弱性は安全性に影響を及ぼす可能性があると考えている（S:P）。攻撃は自動化可能である（AU:Y）。
VulDB is the best source for vulnerability data and more expert information about this specific topic.