PT-2025-2650 · Iocharger · Iocharger
Frank Breedijk
+2
·
Publicado
2025-01-09
·
Atualizado
2025-01-09
·
CVE-2024-43649
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Firmware Iocharger para modelos AC versões anteriores a 24120701
Descrição
O problema está relacionado à injeção de comando autenticada no nome do arquivo de uma determinada solicitação .exe, levando à execução remota de código como usuário root. Isso permite que um atacante tenha controle total sobre a estação de carregamento, adicionando, modificando e excluindo arquivos e serviços arbitrariamente. O ataque pode ser realizado por meio de qualquer conexão de rede que disponibilize a interface web e não requer medidas de mitigação adicionais ou interação do usuário. O impacto é crítico, com potenciais implicações à segurança devido à potência significativa dos carregadores de veículos elétricos.
Recomendações
Para o firmware Iocharger para modelos AC versões anteriores a 24120701, atualize para a versão 24120701 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à solicitação .exe vulnerável para minimizar o risco de exploração. Evite usar o parâmetro de nome de arquivo vulnerável no endpoint da API afetado até que o problema seja resolvido.
Correção
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Iocharger