CVE-2024-43649 in Iocharger
요약
\~에 의해 VulDB • 2026. 06. 29.
인증된 사용자가 .exe 요청의 파일명에서 명령어 인젝션(command injection)을 수행하면 루트(root) 사용자로 원격 코드 실행(RCE)이 가능합니다.
본 이슈는 버전 24120701 이전의 AC 모델용 Iocharger 펌웨어에 영향을 미칩니다.
발생 가능성: 보통 – 명령어 인젝션 취약점은 일반적으로 이러한 위치에서 발생하지 않습니다. 따라서 공격자는 펌웨어를 리버스 엔지니어링하거나 모든 필드를 시도함으로써만 이 취약점을 발견할 가능성이 높습니다. 또한 공격자는 바이너리에 접근하기 위해 (저권한) 계정이 필요하거나, 해당 권한을 가진 사용자를 설득하여 페이로드를 실행하게 해야 합니다.
영향: 치명적 – 공격자는 루트 사용자로서 충전 스테이션에 대한 완전한 제어권을 가지며, 파일과 서비스를 임의로 추가, 수정 및 삭제할 수 있습니다.
CVSS 명확화: 이 공격은 웹 인터페이스를 제공하는 모든 네트워크 연결을 통해 수행될 수 있으며(AV:N), 우회해야 할 추가적인 완화 조치는 없습니다(AC:L) 또는 기타 전제 조건(AT:N)도 없습니다. 공격에는 특권이 필요하지만, 그 수준은 중요하지 않습니다(PR:L). 사용자 상호작용(UI:N)이 필요하지 않습니다. 이 공격은 충전기의 완전한 침해로 이어지며(VC:H/VI:H/VA:H), 침해된 충전기는 일반적으로 도달할 수 없는 네트워크로의 '피벗(pivot)'에 사용될 수 있습니다(SC:L/SI:L/SA:H). 이는 상당한 전력을 다루는 EV 충전기이므로 잠재적인 안전 영향(S:P)이 있을 수 있습니다. 이 공격은 자동화(AU:Y)가 가능합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.