PT-2025-16397 · Steve · Steve

Publicado 2025-04-15 · Atualizado 2025-04-15 · CVE-2024-44843

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas SteVe versão 3.7.1

Descrição O problema reside no processo de handshake do WebSocket, permitindo que atacantes burlam a autenticação e executem comandos arbitrários ao fornecer requisições OCPP manipuladas.

Recomendações Para a versão 3.7.1 do SteVe, considere desativar o processo de handshake do WebSocket até que uma correção esteja disponível para impedir que atacantes burlam a autenticação. Restrinja o acesso ao módulo de tratamento de requisições OCPP para minimizar o risco de exploração. Evite usar a funcionalidade vulnerável de handshake do WebSocket na versão afetada até que o problema seja resolvido.

Exploit

Correção

Improper Authentication

Enumeração de Fraquezas

CWE-287

Identificadores relacionados

CVE-2024-44843

Produtos afetados

Steve

Referências · 6

• 🔥 https://gist.github.com/Badranh/94359664799db6d4709871f0c353f476 · Exploit
• https://github.com/steve-community/steve/issues/1546 · Nota
• https://github.com/steve-community/steve/blob/master/src/main/java/de/rwth/idsg/steve/ocpp/ws/OcppWebSocketHandshakeHandler.java · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-44843 · Nota de Segurança
• https://twitter.com/CVEnew/status/1912253265321787730 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-44843 · Aviso do Fabricante