CVE-2024-43654 in Iocharger
요약
\~에 의해 VulDB • 2026. 06. 28.
명령어 인젝션('Command Injection')에서 특수 요소의 부적절한 중화(Iocharger AC 모델용 펌웨어) 취약점으로 인해 루트 권한으로 OS 명령어 인젝션이 가능합니다. 이 문제는 25010801 이전 버전의 펌웨어를 사용하는 모든 Iocharger AC EV 충전기 모델에 영향을 미칩니다.
발생 가능성: 보통 – 해당 바이너리는 웹 인터페이스에서 사용되는 것으로 보이지 않아 발견하기가 더 어려울 수 있습니다. 그러나 Iocharger Pedestal 충전소에서 사용되는 것과 거의 동일한 바이너리인 것 같습니다. 공격자는 또한 해당 바이너리에 접근할 수 있는 (저권한) 계정이 필요하거나, 그러한 권한을 가진 사용자를 설득하여 조작된 HTTP 요청을 실행하도록 해야 합니다.
영향: 치명적 – 공격자가 루트 사용자로서 충전기에 대한 완전한 제어를 가지며 파일과 서비스를 임의로 추가, 수정 및 삭제할 수 있습니다.
CVSS 명확화: 웹 UI를 제공하는 모든 네트워크 인터페이스는 취약합니다(AV:N) 그리고 이를 우회하기 위한 추가 보안 조치는 없습니다(AC:L), 또한 공격에는 기존 전제 조건이 필요하지 않습니다(AT:N). 공격은 인증되지만, 인증 수준은 중요하지 않으며(PR:L) 사용자 상호작용도 필요하지 않습니다(UI:N). 이 공격으로 인해 완전한 침해가 발생하며(VC:H/VI:H/VA:H), 침해된 장치는 잠재적으로 접근해서는 안 되는 네트워크로 피벗하는 데 사용될 수 있습니다(SC:L/SI:L/SA:H). 이것은 상당한 전력을 처리하는 EV 충전기이므로, 잠재적인 안전 영향(S:P)도 존재합니다. 이 공격은 자동화할 수 있습니다(AU:Y).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.