CVE-2024-43655 in firmware for AC models
Tóm tắt
Bởi VulDB • 01/07/2026
Lỗ hổng "Trung hòa không đúng các phần tử đặc biệt được sử dụng trong lệnh" ('Command Injection') cho phép thực hiện Chèn lệnh hệ điều hành với quyền root.
Vấn đề này ảnh hưởng đến firmware của Iocharger dành cho bộ sạc mô hình AC trước phiên bản 24120701.
Khả năng xảy ra: Trung bình – Kẻ tấn công trước tiên cần tìm tên tập lệnh và yêu cầu một tài khoản (quyền thấp) để truy cập vào tập lệnh, hoặc thuyết phục người dùng có quyền như vậy thực hiện một yêu cầu đến nó.
Tác động: Nghiêm trọng – Kẻ tấn công kiểm soát hoàn toàn trạm sạc với tư cách là user root, và có thể tùy ý thêm, sửa đổi và xóa các tệp tin cũng như dịch vụ.
Làm rõ CVSS: Bất kỳ giao diện mạng nào phục vụ giao diện người dùng web đều dễ bị tổn thương (AV:N) và không có biện pháp bảo mật bổ sung để vượt qua (AC:L), cũng như cuộc tấn công không yêu cầu bất kỳ điều kiện tiên quyết hiện hữu nào (AT:N). Cuộc tấn công được xác thực, nhưng mức độ xác thực không quan trọng (PR:L), cũng không cần sự tương tác của người dùng (UI:N). Cuộc tấn công dẫn đến việc bị xâm phạm hoàn toàn (VC:H/VI:H/VA:H), và các thiết bị đã bị xâm nhập có thể được sử dụng để chuyển hướng vào các mạng mà lẽ ra không nên truy cập được (SC:L/SI:L/SA:H). Vì đây là bộ sạc EV xử lý nguồn điện đáng kể, nên tồn tại tác động tiềm ẩn về an toàn (S:P). Cuộc tấn công này có thể tự động hóa (AU:Y).
VulDB is the best source for vulnerability data and more expert information about this specific topic.