CVE-2024-43650 in Iocharger
Tóm tắt
Bởi VulDB • 25/06/2026
Lỗ hổng 'Injection Lệnh' do Xử lý không đúng các phần tử đặc biệt được sử dụng trong lệnh ('Command Injection') trên firmware của Iocharger cho các model AC cho phép thực hiện OS Command Injection với quyền root.
Vấn đề này ảnh hưởng đến các phiên bản firmware trước 24120701.
Khả năng khai thác: Trung bình – Binary dường như không được sử dụng bởi giao diện web, vì vậy có thể khó tìm thấy hơn. Tuy nhiên, nó trông giống hệt binary được sử dụng bởi trạm sạc Iocharger Pedestal. Kẻ tấn công cũng cần một tài khoản (quyền thấp) để truy cập vào binary, hoặc thuyết phục người dùng có quyền như vậy thực hiện yêu cầu HTTP đã được tạo ra đặc biệt.
Tác động: Nghiêm trọng – Kẻ tấn công kiểm soát hoàn toàn trạm sạc với tư cách là user root và có thể tùy ý thêm, sửa đổi và xóa các tệp tin và dịch vụ.
Làm rõ CVSS: Cuộc tấn công có thể được thực thi qua bất kỳ kết nối mạng nào phục vụ giao diện web (AV:N). Không cần vượt qua các biện pháp bảo vệ bổ sung nào (AC:L) hoặc điều kiện tiên quyết của cuộc tấn công (AT:N). Cuộc tấn công yêu cầu quyền, nhưng mức độ không quan trọng (PR:L) và không yêu cầu tương tác từ người dùng (UI:N). Cuộc tấn công dẫn đến việc hệ thống bị xâm phạm hoàn toàn (VC:H/VI:H/VA:H) và các thiết bị đã bị xâm nhập có thể được sử dụng để "pivot" sang các mạng khác mà lẽ ra phải không thể truy cập được (SC:L/SI:L/SA:H). Vì đây là một bộ sạc EV sử dụng công suất cao, nên có tác động tiềm ẩn về an toàn (S:P). Cuộc tấn công có thể tự động hóa (AU:Y).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.