CVE-2024-43654

Iocharger'ın AC modellerine yönelik aygıt yazılımındaki bir komut içerisinde kullanılan özel öğelerin uygun şekilde etkisiz hale getirilmemesi ('Komut Enjeksiyonu') zafiyeti, root yetkileriyle İşletim Sistemi Komut Enjeksiyonuna izin vermektedir. Bu sorun, 25010801 öncesindeki aygıt yazılımı versiyonlarına sahip tüm Iocharger AC EV şarj cihazı modellerini etkilemektedir. Olasılık: Orta – <redacted> ikili dosyası web arayüzü tarafından kullanılmıyor gibi göründüğü için bulunması daha zor olabilir. Ancak büyük ölçüde Iocharger Pedestal şarj istasyonu tarafından kullanılan ikili dosya ile aynı görünmektedir. Saldırganın ayrıca <redacted> ikili dosyasına erişmek için (düşük yetkili) bir hesaba ihtiyacı olacak veya bu erişime sahip bir kullanıcıyı hazırlanmış bir HTTP isteğini yürütmeye ikna etmesi gerekecektir. Etki: Kritik – Saldırgan, root kullanıcısı olarak şarj istasyonu üzerinde tam kontrole sahiptir ve rastgele dosyalar ile servisler ekleyebilir, değiştirebilir ve silebilir. CVSS açıklaması: Web UI hizmeti veren herhangi bir ağ arayüzü savunmasızdır (AV:N); aşılması gereken ek güvenlik önlemleri yoktur (AC:L) ve saldırı mevcut ön koşullar gerektirmez (AT:N). Saldırı kimlik doğrulamalıdır ancak kimlik doğrulama seviyesi önemli değildir (PR:L) ve herhangi bir kullanıcı etkileşimi gerekmez (UI:N). Saldırı, sistemin tamamen ele geçirilmesine yol açar (VC:H/VI:H/VA:H) ve ele geçirilen cihazlar, potansiyel olarak erişilmemesi gereken ağlara sıçramak için kullanılabilir (SC:L/SI:L/SA:H). Bunun yüksek güç yöneten bir EV şarj cihazı olması nedeniyle, potansiyel bir güvenlik etkisi söz konusudur (S:P). Bu saldırı otomatikleştirilebilir (AU:Y).