CVE-2024-33676

Enel X JuiceBox Level 2 电动汽车充电器上的弱身份验证和授权机制，使攻击者能够访问操作系统功能和参数。

描述

本地电动汽车充电器 WLAN 网络上的用户可以提取个人身份信息 (PII)、更改设置并操纵操作系统文件系统。 这可以通过访问端口 2000 上的本地 Gecko OS 接口功能来实现。

该信息已于 2025 年 7 月 26 日在 BSides Albuquerque 大会上公布。幻灯片位于 此处。

产品详情

受影响厂商：Enel X Way 受影响产品：JuiceBox Level 2 充电器

影响范围：Enel X Way（意大利公用事业与能源集团的子公司）电动汽车充电器

• 25,000 台 JuiceBox 商用充电器（购物中心、多户住宅停车场等）
• 北美地区 100,000 台住宅用 JuiceBox 充电器

受影响版本：

• EMWERK-JB201-1.0.46, Gecko_OS-STANDARD-4.2.7-11064, WGM160P
• EMWERK-JB201_OCPP_EZVOL-0.0.106, Gecko_OS-STANDARD-4.2.7-11064, WGM160P
• EMWERK-JB201_OCPP_VOLTI-0.0.111, Gecko_OS-STANDARD-4.2.7-11064, WGM160P

影响

滥用 JuiceBox Level 2 充电器的 Gecko OS 编程接口：

• 重启或关闭充电器
• 启用/禁用服务
• 更改远程终端和网站凭据（即更新密码，以将所有者锁定在外）
• 使用 http 功能上传和下载文件
• 读取和修改 Wi-Fi 密码，从而允许访问 HAN/WLAN，或可将电动汽车充电器踢出本地 Wi-Fi（例如，无法获得更新、无法访问应用程序）
• 通过 I2C 和 GPIO 配置调整与传感器/执行器的串行连接——是否存在安全隐患？
• 操纵 OCPP 设置或伪造测量信息
• 识别区域内的其他 Wi-Fi 接入点 (AP)
• 泄露电动汽车充电器的位置，例如，利用 wigle.net 和 BSSID（隐私风险）
• 篡改或禁用本地网站
• 可能将合法用户锁定在其系统之外

CVSS

建议的 CVSS 4.0 评分：9.3 / 严重

• 向量：CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/R:U

缓解措施

选项 1：配置远程终端密码

> set re w R3411yG00dEVCh4rg3rPa@@word
> save

选项 2：通过 remote_terminal.enabled 参数禁用

> set re e false
> save

注意：本地网站似乎使用此命令接口来填充其信息，因此修改这些设置很可能会使本地 Web 服务无法运行，例如，gecko-os.js 使用 GET http://setup.com/command/get%20all。

并非那么协调的披露

时间线

• 2023-06-30 - 创建 VINCE 报告。尝试通过电子邮件、网站和 LinkedIn 联系 Enel X。
• 2023-06-30 - 已向美国合作社通报暴露设备情况。
• 2023-11-30 - CERT/CC 无法联系到 Enel X，表示“此时，我认为最好申请 CVE 并公开披露。”
• 2024-4-25 - MITRE 分配 CVE-2024-33676。
• 2024-10-11 - Enel X Way 宣布关闭其北美充电业务。
• 2025-1-7 - VoltiE Group 及其合作伙伴收购 Enel X North America。
• 2025-7-26 - 研究人员在 BSides Albuquerque 上公开该漏洞。

报告人

DER Security 的 Jay Johnson

（特别感谢 Sandia National Laboratories 的 Brian Wright 对本研究的支持。）

POC

如果与电动汽车充电器处于同一网络中，攻击者可以使用 netcat 连接端口 2000，然后利用 Gecko OS API 命令 与设备交互。

例如，通过 get all 即可获取 Wi-Fi 密码、网络信息及其他敏感信息。