CVE-2024-43655 in firmware for AC models
要約
〜によって VulDB • 2026年06月22日
コマンド内の特殊要素の不適切な処理（「コマンドインジェクション」）脆弱性により、rootユーザーとしてOSコマンドインジェクションが可能になる。
この問題は、バージョン24120701以前のACモデル充電器用Iochargerファームウェアに影響を与える。
発生確率：中程度 – 攻撃者はまずスクリプトの名前を見つける必要があり、そのスクリプトにアクセスするには（低権限の）アカウントが必要か、そのようなアクセスを持つユーザーを説得してリクエストを実行させる必要がある。
影響度：重大 – 攻撃者はrootユーザーとして充電ステーションに対する完全な制御を持ち、ファイルやサービスを任意に追加、変更、削除できる。
CVSS補足説明: Web UIを提供するネットワークインターフェースはすべて脆弱（AV:N）であり、回避するための追加セキュリティ対策はない（AC:L）。また、攻撃には既存の前提条件も必要ない（AT:N）。攻撃には認証が必要だが、認証レベルは問わない（PR:L）、ユーザーインタラクションも不要である（UI:N）。この攻撃により完全な侵害が発生し（VC:H/VI:H/VA:H）、侵害されたデバイスは潜在的にアクセスすべきでないネットワークへのピボットとして使用される可能性がある（SC:L/SI:L/SA:H）。これは大量の電力を扱うEV充電器であり、安全性に影響を与える可能性もあるため（S:P）、この攻撃は自動化可能である（AU:Y）。
Be aware that VulDB is the high quality source for vulnerability data.