CVE-2024-43661 in Iocharger
Sumário
de VulDB • 03/06/2026
A biblioteca .so, que é utilizada pelo [nome não especificado], está vulnerável a um estouro de buffer no código responsável pela manipulação da exclusão de certificados. Esse estouro de buffer pode ser acionado ao fornecer um caminho de arquivo longo para a ação do binário CGI .exe ou para o script CGI .sh. Este binário ou script gravará esse caminho de arquivo em [nome não especificado], que é então lido pela biblioteca .so.
Este problema afeta os firmwares Iocharger para modelos AC anteriores à versão 24120701.
Probabilidade: Moderada – Um atacante terá que descobrir essa exploração, seja obtendo os binários envolvidos nesta vulnerabilidade ou por tentativa e erro. Além disso, o atacante precisará de uma conta (com privilégios baixos) para acessar o binário CGI .exe ou o script .sh a fim de acionar a vulnerabilidade, ou convencer um usuário com tal acesso a enviar uma solicitação HTTP que a dispare.
Impacto: Alto – O processo [nome não especificado], assumindo-se ser responsável pela comunicação OCPP, continuará falhando após executar a exploração. Isso ocorre porque o estouro de buffer causa um segfault no processo antes que [arquivo/nome não especificado] seja removido. Isso significa que, embora [o serviço/processo] seja reiniciado automaticamente, ele falhará novamente assim que tentar analisar o arquivo de texto.
Esclarecimento CVSS: O ataque pode ser executado através de qualquer conexão de rede à qual a estação esteja ouvindo e sirva a interface web (AV:N), não há medidas de segurança adicionais em vigor que precisem ser contornadas (AC:L) e o ataque não depende de pré-condições (AT:N). O ataque requer autenticação, mas o nível de autenticação é irrelevante (PR:L); ele não exige interação do usuário (UI:N). O ataque resulta na redução da disponibilidade do dispositivo (VC:N/VI:N/VA:H). Não há impacto em sistemas subsequentes. (SC:N/SI:N/SA:N). Embora este dispositivo seja um carregador de veículos elétricos que manipula quantidades significativas de energia, não prevemos nenhum impacto à segurança física. O ataque pode ser automatizado (AU:Y). Como a condição de DoS é gravada no disco persistentemente, ela não pode ser recuperada pelo usuário (R:I).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.