Vulnerabilidad en Dutch Institute for Vulnerability Disclosure (CVE-2024-43657)
Gravedad CVSS v4.0:
CRÍTICA
Tipo:
CWE-78
Neutralización incorrecta de elementos especiales usados en un comando de sistema operativo (Inyección de comando de sistema operativo)
Fecha de publicación:
09/01/2025
Última modificación:
09/01/2025
Descripción
Vulnerabilidad de neutralización incorrecta de elementos especiales utilizados en un comando ('Inyección de comando') permite la inyección de comandos del sistema operativo como superusuario Este problema afecta al firmware de Iocharger para cargadores modelo AC anteriores a la versión 24120701. Probabilidad: Alta. Sin embargo, el atacante necesitará una cuenta (con poco nivel de privilegios) para obtener acceso al binario CGI action.exe y cargar el archivo de firmware manipulado, o convencer a un usuario con dicho acceso para que lo cargue. Impacto: Crítico: el atacante tiene control total sobre la estación de carga como usuario superusuario y puede agregar, modificar y eliminar archivos y servicios de forma arbitraria. Aclaración de CVSS: cualquier interfaz de red que sirva a la interfaz de usuario web es vulnerable (AV:N) y no hay medidas de seguridad adicionales para eludir (AC:L), ni el ataque requiere condiciones previas existentes (AT:N). El ataque está autenticado, pero el nivel de autenticación no importa (PR:L), ni se requiere ninguna interacción del usuario (UI:N). El ataque provoca una vulnerabilidad total (VC:H/VI:H/VA:H), y los dispositivos afectados pueden utilizarse para acceder a redes que potencialmente no deberían ser accesibles (SC:L/SI:L/SA:H). Como se trata de un cargador de vehículos eléctricos que gestiona una cantidad importante de energía, existe un posible impacto en la seguridad (S:P). Este ataque puede automatizarse (AU:Y).
Impacto
Puntuación base 4.0
9.30
Gravedad 4.0
CRÍTICA
Puntuación base 3.x
8.80
Gravedad 3.x
ALTA