CVE-2024-43654

Iocharger-in AC modelləri üçün proqram təminatında əmr daxilində istifadə olunan xüsusi elementlərin yanlış neytrallaşdırılması ("Command Injection") zəifliyi, root səlahiyyətləri ilə Əməliyyat Sistemi Əmrlərinin İnyeksiyasına (OS Command Injection) imkan verir. Bu problem 25010801 versiyasından əvvəlki bütün Iocharger AC EV şarj cihazı modellərinə təsir edir. Ehtimal: Orta – <redacted> binar faylından veb interfeys tərəfindən istifadə edilmədiyi görünür, buna görə də onu tapmaq daha çətin ola bilər. Lakin bu, böyük ölçüdə Iocharger Pedestal doldurma stansiyasında istifadə olunan binar faylı ilə eynidir. Hücumçu həmçinin <redacted> binar faylına giriş əldə etmək üçün (aşağı imtiyazlı) hesabla giriş etməli və ya belə girişi olan istifadəçini xüsusi hazırlanmış HTTP sorğusunu icra etməyə razı salmalıdır. Təsir: Kritik – Hücumçu root istifadəçisi kimi doldurma stansiyası üzərində tam nəzarətə malik olur və faylları və xidmətləri ixtiyari şəkildə əlavə edə, dəyişdirə və silə bilər. CVSS aydınlaşdırması: Veb UI-ni təmin edən hər hansı şəbəkə interfeysi zəifliyə məruzdur (AV:N) və yan keçilməli əlavə təhlükəsizlik tədbirləri yoxdur (AC:L), həmçinin hücum heç bir mövcud ilkin şərt tələb etmir (AT:N). Hücum autentifikasiya olunmuşdur, lakin autentifikasiyanın səviyyəsi önəmli deyil (PR:L) və heç bir istifadəçi qarşılıqlı əlaqəsi tələb olunmur (UI:N). Hücum sistemin tam kompromisə uğramasına gətirib çıxarır (VC:H/VI:H/VA:H) və kompromisə uğramış cihazlardan potensial olaraq əlçatan olmamalı olan şəbəkələrə keçid etmək üçün istifadə edilə bilər (SC:L/SI:L/SA:H). Bu, yüksək güclə işləyən EV şarj cihazı olduğu üçün potensial təhlükəsizlik təsiri mövcuddur (S:P). Bu hücum avtomatlaşdırıla bilər (AU:Y).