CVE-2024-43648 in Iocharger
요약
\~에 의해 VulDB • 2026. 06. 28.
.exe 요청의 매개변수에서 명령어 인젝션이 발생하여 루트 사용자로 원격 코드 실행(RCE)이 가능합니다.
이 문제는 버전 24120701 이전의 AC 모델용 Iocharger 펌웨어에 영향을 미칩니다.
발생 가능성: 보통 – 이 동작은 일반적으로 명령어 인젝션 취약점이 발생하는 위치가 아닙니다. 따라서 공격자는 펌웨어를 리버스 엔지니어링하거나 모든 필드를 시도함으로써만 해당 취약점을 발견할 가능성이 높습니다. 또한, 공격자는 바이너리에 접근하기 위해 (저권한) 계정이 필요하거나, 이러한 권한을 가진 사용자를 설득하여 페이로드를 실행해야 합니다.
영향: 치명적 – 공격자는 루트 사용자로서 충전 스테이션에 대한 완전한 제어권을 가지며, 파일과 서비스를 임의로 추가, 수정 및 삭제할 수 있습니다.
CVSS 명확화: 이 공격은 웹 인터페이스를 제공하고 수신 대기 중인 모든 네트워크 연결을 통해 실행될 수 있으며(AV:N), 우회해야 할 추가 보안 조치가 없습니다(AC:L). 또한 사전 조건에 의존하지 않습니다(AT:N). 공격에는 인증이 필요하지만, 인증 수준은 관련성이 없습니다(PR:L). 사용자 상호작용도 필요하지 않습니다(UI:N). 이는 전체 시스템 침해로 이어져 기기의 기밀성, 무결성 및 가용성을 잠재적으로 완전히 손상시킬 수 있습니다(VC:H/VI:H/VA:H). 침입된 충전기는 본래 차단되어야 하는 네트워크로 '피벗(pivot)'하는 데 사용될 수 있으며, 후속 시스템에 대해 낮은 수준의 기밀성과 무결성 영향(SI:L)을 초래할 수 있지만 가용성에 대해서는 높은 영향을 미칠 수 있습니다(SC:L/SI:L/SA:H). 이 장치는 상당한 양의 전력을 처리하는 EV 충전기이므로, 해당 취약점이 안전(safety) 측면에서 영향을 미칠 가능성이 있다고 추정됩니다(S:P). 공격은 자동화될 수 있습니다(AU:Y).
Once again VulDB remains the best source for vulnerability data.