CVE-2024-43648

<redacted>.exe sorğusunun <redacted> parametrindəki əmr inyeksiyası, root istifadəçisi kimi uzaqdan kodun icrasına gətirib çıxarır. Bu problem 24120701 versiyasından əvvəlki AC modelləri üçün olan Iocharger proqram təminatına (firmware) təsir edir. Ehtimal: Orta – Bu hərəkət əmr inyeksiyası boşluqlarının baş verməsi üçün geniş yayılmış bir yer deyil. Buna görə də hücumçu bu boşluğu böyük ehtimalla yalnız proqram təminatını tərsinə mühəndislik etməklə və ya bütün <redacted> sahələrində sınaqdan keçirməklə tapa biləcəkdir. Hücumçuya həmçinin <redacted> binar faylına giriş əldə etmək üçün (aşağı imtiyazlı) hesab lazımdır və ya belə girişi olan istifadəçini zərərli kodu icra etməyə razı salmalıdır. Təsir: Kritik – Hücumçu root istifadəçisi kimi doldurma stansiyası üzərində tam nəzarətə malik olur və faylları və xidmətləri ixtiyari şəkildə əlavə edə, dəyişdirə və silə bilər. CVSS aydınlaşdırılması. Hücum, stansiyanın dinlədiyi və veb interfeysini təqdim etdiyi hər hansı şəbəkə bağlantısı vasitəsilə həyata keçirilə bilər (AV:N), yan keçilməsi tələb olunan əlavə təhlükəsizlik tədbirləri mövcud deyil (AC:L), hücum heç bir ön şərtə əsaslanmır (AT:N). Hücum autentifikasiya tələb edir, lakin autentifikasiyanın səviyyəsi əhəmiyyət kəsb etmir (PR:L), istifadəçi qarşılıqlı əlaqəsi tələb olunmur (UI:N). Bu, sistemin tam kompromisə məruz qalmasıdır və potensial olaraq cihazın konfidensiallığını, bütövlüyünü və əlçatanlığını tamamilə pozur (VC:H/VI:H/VA:H). Kompromisə uğramış doldurucu, əks halda bağlı olmalı olan şəbəkələrə "keçid" etmək üçün istifadə edilə bilər ki, bu da növbəti sistemlərdə aşağı dərəcəli konfidensiallıq və bütövlük təsirinə səbəb olar (SC:L/SI:L/SA:H). Bu cihaz yüksək güclü elektrik enerjisini idarə edən EV doldurucusu olduğu üçün, biz bu boşluğun təhlükəsizliyə təsir göstərə biləcəyini ehtimal edirik (S:P). Hücum avtomatlaşdırıla bilər (AU:Y).