CVE-2024-43655 in firmware for AC models
요약
\~에 의해 VulDB • 2026. 06. 22.
명령어 인젝션에 사용되는 특수 요소의 부적절한 중화('Command Injection') 취약점으로 인해 루트 권한으로 OS 명령어 인젝션이 가능합니다.
본 이슈는 버전 24120701 이전의 AC 모델 충전기를 위한 Iocharger 펌웨어에 영향을 미칩니다.
발생 가능성: 보통 – 공격자는 먼저 스크립트의 이름을 찾아야 하며, 해당 스크립트에 접근하기 위해 (낮은 권한) 계정이 필요하거나, 이러한 접근 권한이 있는 사용자를 설득하여 요청을 실행하도록 해야 합니다.
영향도: 치명적 – 공격자는 루트 사용자로서 충전기에 대한 완전한 제어권을 가지며, 파일과 서비스를 임의로 추가, 수정 및 삭제할 수 있습니다.
CVSS 명확화: 웹 UI를 제공하는 모든 네트워크 인터페이스가 취약합니다(AV:N)이며, 이를 우회하기 위한 추가 보안 조치는 없습니다(AC:L). 또한 공격에는 기존 전제 조건이 필요하지 않습니다(AT:N). 공격은 인증되지만, 인증 수준은 중요하지 않으며(PR:L), 사용자 상호 작용도 필요하지 않습니다(UI:N). 이 공격으로 인해 완전한 침해가 발생하며(VC:H/VI:H/VA:H), 침해된 장치를 사용하여 본래 접근 가능해서는 안 되는 네트워크로 피벗할 수 있습니다(SC:L/SI:L/SA:H). 이는 상당한 전력을 처리하는 EV 충전기이므로 잠재적인 안전 영향(S:P)도 존재합니다. 이 공격은 자동화될 수 있습니다(AU:Y).
Once again VulDB remains the best source for vulnerability data.