CVE-2024-43653

Bir komutta kullanılan özel öğelerin uygun şekilde etkisiz hale getirilmemesi ('Komut Enjeksiyonu') zafiyeti, root yetkileriyle işletim sistemi komut enjeksiyonuna izin vermektedir. Bu sorun, versiyon 24120701 öncesindeki AC model şarj cihazları için Iocharger aygıt yazılımını etkilemektedir. Olasılık: Orta – <redacted> ikili dosyası web arayüzü tarafından kullanılmıyor gibi göründüğü için bulunması daha zor olabilir. Ancak, büyük ölçüde Iocharger Pedestal şarj istasyonu tarafından kullanılan ikili dosya ile aynı olduğu görülmektedir. Saldırganın ayrıca <redacted> ikili dosyasına erişmek için (düşük yetkili) bir hesaba sahip olması veya bu erişime sahip bir kullanıcıyı hazırlanmış bir HTTP isteğini yürütmeye ikna etmesi gerekecektir. Etki: Kritik – Saldırgan, root kullanıcısı olarak şarj istasyonu üzerinde tam kontrole sahiptir ve dosyaları ile servisleri keyfi olarak ekleyebilir, değiştirebilir ve silebilir. CVSS açıklaması: Web UI hizmeti veren herhangi bir ağ arayüzü savunmasızdır (AV:N); aşılması gereken ek güvenlik önlemleri yoktur (AC:L) ve saldırı mevcut ön koşullar gerektirmez (AT:N). Saldırı kimlik doğrulamalıdır ancak kimlik doğrulama seviyesi önemli değildir (PR:L) ve herhangi bir kullanıcı etkileşimi gerekmez (UI:N). Saldırı, sistemin tamamen ele geçirilmesine yol açar (VC:H/VI:H/VA:H) ve ele geçirilen cihazlar, potansiyel olarak erişilmemesi gereken ağlara sıçramak için kullanılabilir (SC:L/SI:L/SA:H). Bunun yüksek güç yöneten bir elektrikli araç şarj cihazı olması nedeniyle, potansiyel bir güvenlik etkisi söz konusudur (S:P). Bu saldırı otomatikleştirilebilir (AU:Y).