Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Vulnerabilidad en Dutch Institute for Vulnerability Disclosure (CVE-2024-43659)

Gravedad CVSS v4.0:
ALTA
Tipo:
CWE-256 Almacenamiento de un contraseña en texto claro
Fecha de publicación:
09/01/2025
Última modificación:
09/01/2025

Descripción

Después de obtener acceso al firmware de una estación de carga, se puede acceder a un archivo en para obtener credenciales predeterminadas que son las mismas en todos los cargadores EV del modelo AC de Iocharger. Este problema afecta al firmware de Iocharger para los modelos AC anteriores a la versión de firmware 25010801. El problema se soluciona al requerir un cambio de contraseña obligatorio en el primer inicio de sesión, aún se recomienda cambiar la contraseña en los modelos más antiguos. Probabilidad: moderada: el atacante primero tendrá que aprovechar una vulnerabilidad de ejecución de código o inclusión de archivo (por ejemplo, utilizando .sh) para obtener acceso al archivo .json u obtener un volcado de firmware de la estación de carga u obtener el firmware a través de otros canales. Impacto: crítico: todos los cargadores que usan el firmware de Iocharger para los modelos AC comenzaron con la misma contraseña inicial. Para los modelos con la versión de firmware anterior a 25010801, no era obligatorio un cambio de contraseña. Por lo tanto, es muy probable que esta contraseña de firmware aún esté activa en muchos cargadores. Estas credenciales podrían, una vez obtenidas, permitir a un atacante iniciar sesión en muchas estaciones de carga de Iocharger y permitirles ejecutar comandos arbitrarios a través de la página Sistema ? Personalizado. Aclaración de CVSS: Cualquier interfaz de red que sirva a la interfaz de usuario web es vulnerable (AV:N) y no hay medidas de seguridad adicionales para eludirla (AC:L), ni el ataque requiere condiciones previas existentes (AT:N). El ataque está autenticado y requiere privilegios altos (PR:H), no se requiere interacción del usuario (UI:N). El ataque lleva a comprometer la confidencialidad de las credenciales de "superusuario" del dispositivo (VC:H/VI:N/VA:N), y posteriormente puede usarse para comprometer por completo otros dispositivos (SC:H/SI:H/SA:H). Debido a que se trata de un cargador de vehículos eléctricos que gestiona una energía significativa, existe un posible impacto en la seguridad (S:P). Este ataque puede automatizarse (AU:Y).

Impacto

Vector 4.0
CVSS:4.0/AV:L/AC:L/AT:N/PR:H/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:H/S:P/AU:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 8.30 ALTA
Vector: CVSS:4.0/AV:L/AC:L/AT:N/PR:H/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:H/S:P/AU:N

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Alto
Integrity (VI): Ninguno
Availability (VA): Ninguno
Confidentiality (SC): Alto
Integrity (SI): Alto
Availability (SA): Alto
Safety (S): Present
Automatable (AU): No

Puntuación base 4.0
8.30
Gravedad 4.0
ALTA
Vector 3.x
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.20 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x
7.20
Gravedad 3.x
ALTA

Referencias a soluciones, herramientas e información