Vulnerabilidad en Iocharger firmware para AC model chargers (CVE-2024-43660)
Gravedad CVSS v4.0:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
09/01/2025
Última modificación:
09/01/2025
Descripción
El script CGI .sh se puede utilizar para descargar cualquier archivo en el sistema de archivos. Este problema afecta a Iocharger firmware para AC model chargers anteriores a la versión 24120701. Probabilidad: Alta, pero se requieren credenciales. Impacto: Crítico: el script se puede utilizar para descargar cualquier archivo en el sistema de archivos, incluidos archivos confidenciales como /etc/shadow, el código fuente del script CGI o los archivos binarios y de configuración. CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/S:P/AU:Y Aclaración de CVSS. El ataque se puede ejecutar a través de cualquier conexión de red que la estación esté escuchando y sirva a la interfaz web (AV:N), y no hay ninguna medida de seguridad adicional en el lugar que deba eludirse (AC:L), el ataque no depende de condiciones previas (AT:N). El ataque requiere autenticación, pero el nivel de autenticación es irrelevante (PR:L), no requiere interacción del usuario (UI:N). La confidencialidad de todos los archivos del dispositivo puede verse comprometida (VC:H/VI:N/VA:N). No hay impacto en los sistemas posteriores (SC:N/SI:N/SA:N). Si bien este dispositivo es un cargador de vehículos eléctricos que gestiona cantidades significativas de energía, este ataque en forma aislada no tiene un impacto en la seguridad. El ataque puede automatizarse (AU:Y).
Impacto
Puntuación base 4.0
7.10
Gravedad 4.0
ALTA
Puntuación base 3.x
7.50
Gravedad 3.x
ALTA