CVE-2024-33676

Enel X JuiceBox Level 2 EV चार्जर पर कमजोर प्रमाणीकरण और अधिकृतता ऑपरेटिंग सिस्टम फ़ंक्शंस और मापदंडों तक पहुंच सक्षम बनाता है।

विवरण

स्थानीय EV चार्जर WLAN नेटवर्क पर उपयोगकर्ता PII निकाल सकते हैं, सेटिंग्स बदल सकते हैं, और ऑपरेटिंग सिस्टम फ़ाइल सिस्टम में हेरफेर कर सकते हैं। यह पोर्ट 2000 पर स्थानीय Gecko OS इंटरफ़ेस पर फ़ंक्शंस तक पहुँच कर किया जाता है।

यह जानकारी 26 जुलाई 2025 को BSides Albuquerque में प्रस्तुत की गई थी। स्लाइड्स यहाँ उपलब्ध हैं।

उत्पाद विवरण

प्रभावित विक्रेता: Enel X Way प्रभावित उत्पाद: JuiceBox Level 2 Charger

पदचिह्न: Enel X Way (इतालवी उपयोगिता और ऊर्जा समूह की सहायक कंपनी) EV चार्जर

• 25,000 JuiceBox वाणिज्यिक चार्जर (शॉपिंग मॉल, मल्टीफ़ैमिली पार्किंग गैरेज, आदि)
• उत्तरी अमेरिका में 100,000 आवासीय JuiceBox चार्जर

प्रभावित संस्करण:

• EMWERK-JB201-1.0.46, Gecko_OS-STANDARD-4.2.7-11064, WGM160P
• EMWERK-JB201_OCPP_EZVOL-0.0.106, Gecko_OS-STANDARD-4.2.7-11064, WGM160P
• EMWERK-JB201_OCPP_VOLTI-0.0.111, Gecko_OS-STANDARD-4.2.7-11064, WGM160P

प्रभाव

JuiceBox Level 2 Charger Gecko OS प्रोग्रामिंग इंटरफ़ेस का दुरुपयोग:

• चार्जर को रिबूट या बंद करना
• सेवाओं को सक्षम/अक्षम करना
• रिमोट टर्मिनल और वेबसाइट क्रेडेंशियल बदलना (अर्थात्, मालिक को लॉक आउट करने के लिए पासवर्ड अपडेट करना)
• http कार्यक्षमता का उपयोग करके फ़ाइलों को अपलोड और डाउनलोड करना
• वाई-फ़ाई पासवर्ड पढ़ना और संशोधित करना, HAN/WLAN तक पहुँच प्रदान करना या EV चार्जर को स्थानीय वाई-फ़ाई से हटाने की क्षमता (जैसे, कोई अपडेट नहीं, कोई ऐप एक्सेस नहीं)
• I2C और GPIO कॉन्फ़िगरेशन के माध्यम से सेंसर/एक्ट्यूएटर के लिए सीरियल कनेक्शन समायोजित करना - सुरक्षा चिंता?
• OCPP सेटिंग्स में हेरफेर करना या माप जानकारी को गलत साबित करना
• क्षेत्र में अन्य वाई-फ़ाई AP की पहचान करना
• EV चार्जर के स्थान का खुलासा करना, जैसे, wigle.net और BSSID का उपयोग करना (गोपनीयता जोखिम)
• स्थानीय वेबसाइट को विकृत या अक्षम करना
• संभावित रूप से वैध उपयोगकर्ताओं को उनके सिस्टम से लॉक आउट करना

CVSS

सुझाया गया CVSS 4.0: 9.3 / क्रिटिकल

• वेक्टर: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/R:U

शमन

विकल्प 1: रिमोट टर्मिनल पासवर्ड कॉन्फ़िगर करें

> set re w R3411yG00dEVCh4rg3rPa@@word
> save

विकल्प 2: remote_terminal.enabled पैरामीटर के साथ अक्षम करें

> set re e false
> save

नोट: ऐसा प्रतीत होता है कि स्थानीय वेबसाइट अपनी जानकारी भरने के लिए इस कमांड इंटरफ़ेस का उपयोग करती है, इसलिए इन सेटिंग्स को संशोधित करने से स्थानीय वेब सेवा निष्क्रिय हो जाएगी, जैसे, gecko-os.js GET http://setup.com/command/get%20all का उपयोग करता है।

बहुत समन्वित प्रकटीकरण नहीं

समयरेखा

• 2023-06-30 - VINCE रिपोर्ट बनाई। ईमेल, वेबसाइट और LinkedIn के माध्यम से Enel X से संपर्क करने का प्रयास किया गया।
• 2023-06-30 - उजागर उपकरणों के अमेरिकी सहकारी को सूचित किया।
• 2023-11-30 - CERT/CC Enel X से संपर्क करने में असमर्थ, कहता है "इस बिंदु पर, CVE के लिए आवेदन करना और सार्वजनिक होना सबसे अच्छा है।"
• 2024-4-25 - MITRE ने CVE-2024-33676 निर्दिष्ट किया।
• 2024-10-11 - Enel X Way ने घोषणा की कि वह अपने उत्तरी अमेरिकी चार्जिंग व्यवसाय को बंद कर रहा है।
• 2025-1-7 - VoltiE Group और भागीदारों ने Enel X North America का अधिग्रहण किया।
• 2025-7-26 - शोधकर्ता ने BSides Albuquerque में भेद्यता का खुलासा किया।

रिपोर्टर

Jay Johnson, DER Security

(इस शोध के लिए Sandia National Laboratories के Brian Wright को विशेष धन्यवाद।)

POC

यदि EV चार्जर के साथ नेटवर्क पर है, तो एक प्रतिद्वंद्वी पोर्ट 2000 पर netcat कर सकता है और फिर Gecko OS API कमांड का उपयोग करके उपकरण के साथ संवाद कर सकता है।

उदाहरण के लिए, वाई-फ़ाई पासवर्ड, नेटवर्किंग जानकारी और अन्य संवेदनशील जानकारी प्राप्त करना get all के साथ किया जा सकता है।