Vulnerabilidad en Dutch Institute for Vulnerability Disclosure (CVE-2024-43649)
Gravedad CVSS v4.0:
CRÍTICA
Tipo:
CWE-78
Neutralización incorrecta de elementos especiales usados en un comando de sistema operativo (Inyección de comando de sistema operativo)
Fecha de publicación:
09/01/2025
Última modificación:
15/04/2026
Descripción
La inyección de comandos autenticados en el nombre de archivo de una solicitud .exe conduce a la ejecución remota de código como usuario superusuario. Este problema afecta al firmware de Iocharger para modelos AC anteriores a la versión 24120701. Probabilidad: moderada: esta acción no es un lugar común para que se produzcan vulnerabilidades de inyección de comandos. Por lo tanto, es probable que un atacante solo pueda encontrar esta vulnerabilidad mediante ingeniería inversa del firmware o probándola en todos los campos . El atacante también necesitará una cuenta (con privilegios bajos) para obtener acceso al binario o convencer a un usuario con dicho acceso para que ejecute un payload. Impacto: crítico: el atacante tiene control total sobre la estación de carga como usuario raíz y puede agregar, modificar y eliminar archivos y servicios de forma arbitraria. Aclaración de CVSS: este ataque se puede realizar a través de cualquier conexión de red que brinde servicio a la interfaz web (AV:N) y no hay medidas de mitigación adicionales que deban eludirse (AC:L) u otros requisitos previos (AT:N). El ataque requiere privilegios, pero el nivel no importa (PR:L), no se requiere interacción del usuario (UI:N). El ataque lleva a un cargador totalmente comprometido (VC:H/VI:H/VA:H) y un cargador comprometido puede usarse para "pivotar" hacia redes que normalmente no deberían ser accesibles (SC:L/SI:L/SA:H). Debido a que se trata de cargadores de vehículos eléctricos con una potencia significativa, existe un posible impacto en la seguridad (S:P). Este ataque puede automatizarse (AU:Y).
Impacto
Puntuación base 4.0
9.30
Gravedad 4.0
CRÍTICA
Puntuación base 3.x
8.80
Gravedad 3.x
ALTA