PT-2024-20200 · Autel · Autel Maxicharger Ac Elite Business C50

Midnight Blue · Publicado 2024-06-21 · Atualizado 2024-10-03 · CVE-2024-23957

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Autel MaxiCharger AC Elite Business C50 (versões afetadas não especificadas)

Descrição

Esta vulnerabilidade permite que invasores na mesma rede executem código arbitrário em instalações afetadas das estações de recarga Autel MaxiCharger AC Elite Business C50. Não é necessária autenticação para explorar esta vulnerabilidade. A falha específica existe no manipulador DLB HostHeartBeat da implementação do protocolo DLB. Ao analisar uma chave AES, o processo não valida corretamente o comprimento dos dados fornecidos pelo usuário antes de copiá-los para um buffer baseado em pilha de comprimento fixo. Um invasor pode aproveitar esta vulnerabilidade para executar código no contexto do dispositivo.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Correção

Memory Corruption

Stack Overflow

Enumeração de Fraquezas

CWE-787

CWE-121

Identificadores relacionados

CVE-2024-23957

ZDI-24-854

Produtos afetados

Autel Maxicharger Ac Elite Business C50

Referências · 8

• https://t.me/cvedetector/6594 · Publicação no Telegram
• https://t.me/cvenotify/96949 · Publicação no Telegram
• https://zerodayinitiative.com/advisories/ZDI-24-854 · Nota de Segurança
• https://t.me/cvenotify/96460 · Publicação no Telegram
• https://twitter.com/cracbot/status/1841357547196051527 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-23957 · Nota de Segurança
• https://t.me/latest_high_impact_cve/1227 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-23957 · Aviso do Fabricante