CVE-2021-22729

Hardkodowane hasło w ładowarkach EVlink Schneider Electric

CVSS 9.8v3.1pub. 2021-07-21upd. 2024-11-21

W oprogramowaniu stacji ładowania EVlink firmy Schneider Electric wykryto zakodowane na stałe hasło (hard-coded password), umożliwiające nieautoryzowany dostęp administracyjny. Podatność jest krytyczna, ponieważ nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika i jest dostępna zdalnie przez sieć.

▸ Pokaż oryginał (EN)

A CWE-259: Use of Hard-coded Password vulnerability exists in EVlink City (EVC1S22P4 / EVC1S7P4 all versions prior to R8 V3.4.0.1), EVlink Parking (EVW2 / EVF2 / EV.2 all versions prior to R8 V3.4.0.1), and EVlink Smart Wallbox (EVB1A all versions prior to R8 V3.4.0.1 ) that could allow an attacker to gain unauthorized administrative privileges when accessing to the charging station web server.

🤖 Analiza AI

Jak działa

Oprogramowanie urządzeń EVlink zawiera hasło wbudowane bezpośrednio w kod (CWE-259), które nie może zostać zmienione przez administratora w standardowy sposób. Atakujący posiadający wiedzę o tym haśle może użyć go do logowania się do interfejsu webowego serwera stacji ładowania. Ponieważ hasło jest identyczne we wszystkich urządzeniach danej linii produktowej, jeden ujawniony ciąg znaków kompromituje całą flotę urządzeń.

Skutki

Atakujący może uzyskać nieautoryzowane uprawnienia administracyjne do webowego interfejsu zarządzania stacją ładowania, co umożliwia pełną kontrolę nad urządzeniem, w tym modyfikację jego konfiguracji oraz potencjalne zakłócenie świadczonych usług ładowania pojazdów elektrycznych.

Mitygacja

Należy zaktualizować oprogramowanie urządzeń do wersji R8 V3.4.0.1 lub nowszej. Szczegółowe instrukcje aktualizacji dostępne są w biuletynie bezpieczeństwa Schneider Electric SEVD-2021-194-06. Dodatkowo zaleca się ograniczenie dostępu sieciowego do interfejsu webowego stacji ładowania (firewall, segmentacja sieci) do czasu wdrożenia patcha.

Kogo dotyczy

EVlink City (EVC1S22P4 / EVC1S7P4) — wszystkie wersje przed R8 V3.4.0.1; EVlink Parking (EVW2 / EVF2 / EV.2) — wszystkie wersje przed R8 V3.4.0.1; EVlink Smart Wallbox (EVB1A) — wszystkie wersje przed R8 V3.4.0.1

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Schneider Electric Evlink City Evc1s22p4
HW
Schneider-Electric
wszystkie wersje
Schneider Electric Evlink City Evc1s22p4 Firmware
OS
Schneider-Electric
< r8_v3.4.0.1
Schneider Electric Evlink City Evc1s7p4
HW
Schneider-Electric
wszystkie wersje
Schneider Electric Evlink City Evc1s7p4 Firmware
OS
Schneider-Electric
< r8_v3.4.0.1
Schneider Electric Evlink Parking Ev.2
HW
Schneider-Electric
wszystkie wersje
Schneider Electric Evlink Parking Ev.2 Firmware
OS
Schneider-Electric
< r8_v3.4.0.1
Schneider Electric Evlink Parking Evf2
HW
Schneider-Electric
wszystkie wersje
Schneider Electric Evlink Parking Evf2 Firmware
OS
Schneider-Electric
< r8_v3.4.0.1
Schneider Electric Evlink Parking Evw2
HW
Schneider-Electric
wszystkie wersje
Schneider Electric Evlink Parking Evw2 Firmware
OS
Schneider-Electric
< r8_v3.4.0.1
Schneider Electric Evlink Smart Wallbox Evb1a
HW
Schneider-Electric
wszystkie wersje
Schneider Electric Evlink Smart Wallbox Evb1a Firmware
OS
Schneider-Electric
< r8_v3.4.0.1