CVE-2024-43651

Bir Komutta Kullanılan Özel Öğelerin Uygun Şekilde Etkisizleştirilmemesi ('Komut Enjeksiyonu') zafiyeti, root yetkileriyle İşletim Sistemi Komut Enjeksiyonuna izin vermektedir. Bu sorun, versiyon 241207101 öncesindeki AC modeller için Iocharger firmware ürününü etkilemektedir. Olasılık: Orta – <redacted> ikili dosyası web arayüzü tarafından kullanılmıyor gibi göründüğü için bulunması daha zor olabilir. Ancak, büyük ölçüde Iocharger Pedestal şarj istasyonu tarafından kullanılan ikili dosya ile aynı olduğu görülmektedir. Saldırganın ayrıca <redacted> ikili dosyasına erişmek için bir (düşük yetkili) hesaba ihtiyacı olacaktır veya bu erişime sahip bir kullanıcıyı özel olarak hazırlanmış bir HTTP isteğini yürütmeye ikna etmesi gerekecektir. Etki: Kritik – Saldırgan, root kullanıcısı olarak şarj istasyonu üzerinde tam kontrole sahiptir ve rastgele dosyalar ile servisler ekleyebilir, değiştirebilir ve silebilir. CVSS açıklaması: Web arayüzüne hizmet veren herhangi bir ağ bağlantısı savunmasızdır (AV:N); aşılması gereken ek önlemler yoktur (AC:L) ve saldırının gerçekleşmesi için özel koşulların mevcut olması gerekmez (AT:N). Saldırı kimlik doğrulaması gerektirir ancak seviyesi önemli değildir (PR:L) ve kullanıcı etkileşimi gerekli değildir (UI:N). Saldırı, sistemin tamamen ele geçirilmesine yol açar (VC:H/VI:H/VA:H) ve ele geçirilen cihaz, normalde erişilememesi gereken bir ağa potansiyel olarak "sıçrama" yapmak için kullanılabilir (SC:L/SI:L/SA:H). Bu cihaz yüksek güç yöneten bir elektrikli araç şarj ünitesi olduğundan, potansiyel bir güvenlik etkisi söz konusudur (S:P). Saldırı otomatikleştirilebilir (AU:Y).