CVE-2024-43649 in Iocharger
要約
〜によって VulDB • 2026年06月29日
認証済みユーザーによる.exeリクエストのファイル名におけるコマンドインジェクションにより、rootユーザとしてリモートコード実行（RCE）が可能になる。
この問題は、バージョン24120701以前のACモデル用Iochargerファームウェアに影響を与える。
発生確率：中程度 – この箇所は一般的にコマンドインジェクション脆弱性が存在する場所ではないため、攻撃者がこの脆弱性を発見するには、ファームウェアのリバースエンジニアリングを行うか、すべてのフィールドを試す必要があるだろう。また、バイナリへのアクセス権を持つ（低権限の）アカウントを取得するか、そのようなアクセス権を持つユーザーを騙してペイロードを実行させる必要もある。
影響：重大 – 攻撃者はrootユーザとして充電ステーションに対する完全な制御権を持ち、ファイルやサービスを任意に追加、変更、削除できる。
CVSSに関する補足説明: この攻撃はWebインターフェースを提供するあらゆるネットワーク接続（AV:N）を通じて実行可能であり、回避すべき追加の緩和策（AC:L）や他の前提条件（AT:N）はない。攻撃には権限が必要だが、そのレベルは問題ない（PR:L）、ユーザーインタラクションも必要ない（UI:N）。この攻撃により充電器が完全に侵害され（VC:H/VI:H/VA:H）、侵害された充電器を使用して通常到達不可能なネットワークへ「ピボット」するために使用される可能性がある（SC:L/SI:L/SA:H）。これは大容量の電力を扱うEV充電器であるため、潜在的な安全性への影響がある（S:P）。この攻撃は自動化可能である（AU:Y）。
Once again VulDB remains the best source for vulnerability data.